Eine Cross-Chain-Bridge, die einst über 200.000 XRP hielt, wurde in weniger als zwei Stunden auf Kleingeld reduziert, ohne dass auch nur ein einziger privater Schlüssel gestohlen werden musste. Der XRP-Coreum-Bridge-Hack leerte 99,7 % der Reserve, die den Coreum-zu-XRP-Ledger-Connector am 9. August besicherte, und verwandelte das, was eine routinemäßige Einzahlungsüberprüfung hätte sein sollen, in eine offene Tür für einen Angreifer, der die Software einfach besser verstand als die Personen, die sie betrieben.
Summary
Wichtigste Erkenntnisse
- Ein Angreifer leerte am 9. August 99,7 % der XRP-Reserve, die die Coreum-Cross-Blockchain-Bridge besicherte, sodass sie nur noch etwa 493 XRP hielt.
- 199.916 XRP im Wert von mehr als 200.000 $ wurden in einem Zeitraum von etwa 97 Minuten über 94 Transaktionen abgezogen.
- Der Exploit beinhaltete keine gestohlenen privaten Schlüssel; er nutzte fehlerhafte Relayer-Software aus, die einer Transaktionsmemo vertraute, anstatt das tatsächliche Zahlungsziel zu verifizieren.
- TX, die Marke hinter Coreum und Sologenic, bestätigte den Vorfall, räumte ein, dass gebridgte XRP auf ihrer Chain derzeit nicht vollständig gedeckt sind, und erklärte, dass bei der FBI eine Beschwerde eingereicht wurde.
- XRP fiel erstmals seit November 2024 unter 1 $, als sich die Nachricht verbreitete, obwohl der breitere Rückgang der Coin in diesem Jahr dem Exploit zeitlich vorausging.
Der Exploit, der Coreums Bridge leerte
Die Coreum-Bridge verlor nahezu ihre gesamte XRP-Reserve in einem einzigen, stark komprimierten Angriffsfenster. Das Liquiditätskonto der Coreum-Bridge schüttete 199.916 XRP im Wert von etwa 200.000 $ über 94 separate Transaktionen aus, und jede Auszahlung trug eine Mehrheit gültiger Signaturen aus dem Relayer-Netzwerk der Bridge selbst. Innerhalb weniger Stunden stellte das Projekt fest, dass es nur noch 493 XRP hielt, gegenüber einem Kontostand von rund 200.410 XRP, bevor der Angriff begann.
Laut On-Chain-Analyse wurden die Abhebungen in etwa 97 Minuten ausgeführt, zwischen 19:16 und 20:53 UTC. Diese Geschwindigkeit war entscheidend: Sie verschaffte dem Angreifer ein schmales, aber ausreichendes Zeitfenster, um Dutzende betrügerische Auszahlungsanfragen durch den Multisig-Genehmigungsprozess der Bridge zu schleusen, bevor jemand bemerkte, dass die Reserve verschwand.
Dies war kein Einbruch in das XRP-Ledger selbst. Kein Validator wurde kompromittiert, und keine Wallet verlor ihre Schlüssel. Der Schaden entstand ausschließlich durch einen Fehler in der Drittanbieter-Bridge-Infrastruktur, die auf dem Ledger aufsetzt – ein Unterschied, der wichtig ist, wenn man beurteilt, wie weit sich die Folgen ausbreiten könnten.
Wie die Relayer-Software getäuscht wurde
Die Mechanik hinter dem Coreum-XRP-Exploit offenbart eine überraschend einfache Lücke im Design der Bridge. Die Relayer-Software wurde so gebaut, dass sie den Transaktionsverlauf des Bridge-Kontos nach Zahlungen mit einem bestimmten Coreum-Empfängermemo durchsucht und dieses Memo als Beweis dafür behandelt, dass eine Einzahlung tatsächlich eingegangen ist. Was sie nie tat, war zu bestätigen, dass die Zahlung tatsächlich die richtige Ziel-Wallet erreicht hatte.
Der Angreifer nutzte diese Lücke aus, indem er selbst kontrollierte Wrapped Tokens zwischen Wallets bewegte, die ihm gehörten, und jeder Überweisung ein Coreum-formatiertes Memo anhängte. Da diese Wrapped Tokens ursprünglich von der Bridge selbst ausgegeben worden waren, tauchten die Transaktionen sauber in deren Verlauf auf, ohne dass etwas sie als falsche Einzahlungen kennzeichnete. Die Relayer-Logik prüfte das Memo-Feld und kaum mehr, wobei sie die Empfängeradresse ignorierte, die den Betrug entlarvt hätte.
Dieser blinde Fleck wirkte sich direkt darauf aus, wie die Auszahlungen genehmigt wurden. Die Autorisierung erforderte 17 von 28 Relayer-Schlüsseln, und jeder dieser unabhängigen Betreiber führte denselben fehlerhaften Code aus. Da jeder Node dieselben gefälschten Beweise auswertete und zu derselben falschen Schlussfolgerung kam, kollabierte die dezentrale Schutzmaßnahme der Bridge zu einem einzigen Ausfallpunkt. Dies ist die zentrale Lehre aus der gebidgten-XRP-Sicherheitslücke: Die Verteilung von Vertrauen auf viele Betreiber bietet wenig Schutz, wenn sie alle derselben fehlerhaften Verifikationslogik vertrauen.
TX bestätigt den Einbruch und schaltet das FBI ein
TX, die Marke, die im Februar sowohl die Coreum- als auch die Sologenic-Community in ein einziges Ökosystem integrierte, bestätigte den Vorfall öffentlich und spielte nicht herunter, was schiefgelaufen war. Das Unternehmen räumte ein, dass seine Software „Transaktionen, die tatsächlich nie XRP an die Bridge geliefert haben, fälschlicherweise als Einzahlungen registrierte und daraufhin gebidgtes XRP auf der tx-Chain dagegen prägte“.
Dieses Eingeständnis hat direkte finanzielle Konsequenzen: TX gab zu, dass gebridgte XRP, die auf der tx-Chain im Umlauf sind, „derzeit nicht vollständig gedeckt“ sind, was bedeutet, dass Token, die eine Eins-zu-eins-XRP-Reserve repräsentieren sollen, nun nur noch teilweise besichert sind. In derselben Erklärung wurde darauf hingewiesen, dass die Bridge vor der Bereitstellung „mehrere interne und externe Audits durchlaufen“ habe – ein Detail, das unangenehme Fragen aufwirft, wie ein derart grundlegender Fehler die Prüfung überstehen konnte. TX bestätigte außerdem, dass beim FBI eine formelle Beschwerde wegen des Hacks eingereicht wurde und die Bridge in den Tagen nach dem Einbruch ausgesetzt blieb, während das Team an seiner Reaktion arbeitete.
Warum dies über Coreum hinaus von Bedeutung ist: Dass geprüfte Bridge-Software bei einem derart grundlegenden Verifikationsschritt versagt, deutet darauf hin, dass das Problem weniger in der Komplexität des Codes liegen könnte, sondern eher darin, wie gründlich Cross-Chain-Systeme Stresstests unterzogen werden, bevor echtes Geld durch sie fließt. Für jedes Projekt, das gebridgte Assets anbietet, ist das eine Warnung, die man genau lesen sollte.
Marktauswirkungen, da XRP unter 1 $ fällt
Das Timing des Exploits fiel unglücklich mit dem breiteren Preistrend von XRP zusammen. Der Token fiel in den Tagen nach dem Hack unter 1 $, sein erster Kurs unter einem Dollar seit November 2024. XRP hat in diesem Jahr nun 45 % seines Wertes verloren und liegt 74 % unter seinem Allzeithoch – ein Rückgang, der sich schon lange vor dem Bridge-Vorfall aufgebaut hatte, den die Exploit-Nachrichten aber keineswegs abmilderten.
Der Vorfall dient auch als warnende Fallstudie für eine Krypto-Bridge-Sicherheitsverletzung im weiteren Sinne. Cross-Chain-Bridges sind darauf angewiesen, dass Relayer oder Validatoren bestätigen, dass auf einem anderen Netzwerk tatsächlich etwas passiert ist, und wenn diese Attestierungslogik einen Fehler hat, bricht das gesamte darauf aufbauende Vertrauensmodell zusammen. Da dieser Fehler in der Drittanbieter-Bridge-Infrastruktur lag und nicht im Kernprotokoll des XRP-Ledgers, könnten sich die direkten Schäden für das breitere XRP-Ökosystem als begrenzt erweisen. Doch das Vertrauen in Wrapped- und gebridgte Versionen von XRP und in ähnliche, auf Relayern basierende Designs anderswo ist eine andere Frage – eine, die wahrscheinlich davon abhängen wird, ob TX zeigen kann, dass die Lücke endgültig geschlossen wurde.
FAQ
Wie konnte der Angreifer XRP abheben, ohne private Schlüssel zu stehlen?
Der Angreifer nutzte fehlerhafte Relayer-Software aus, die Einzahlungen ausschließlich auf Basis von Empfängermemos validierte, ohne das tatsächliche Zahlungsziel zu überprüfen, und täuschte so das System, erfundene Einzahlungen als echte zu behandeln.
Warum genehmigten unabhängige Betreiber die betrügerischen Auszahlungen?
Die Betreiber führten dieselbe verwundbare Software aus, die gefälschte Einzahlungsnachweise ungeprüft akzeptierte. Da jeder Relayer sich auf identische fehlerhafte Logik stützte, kamen sie alle zur selben falschen Schlussfolgerung und zeichneten Auszahlungen gegen, die nie legitim waren.
Wie fiel die offizielle Reaktion von Coreum und TX auf den Exploit aus?
TX bestätigte den Vorfall, räumte ein, dass die Software Transaktionen, die tatsächlich nie XRP geliefert hatten, fälschlicherweise als echte Einzahlungen erfasste, und gab bekannt, dass gebridgte XRP auf der tx-Chain infolgedessen derzeit nicht vollständig gedeckt sind.
Welche rechtlichen Schritte wurden nach dem Hack unternommen?
Laut der Stellungnahme von TX, mit der der Vorfall bestätigt wurde, wurde beim FBI eine Beschwerde bezüglich des Hacks eingereicht.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Wie konnte der Angreifer XRP abheben, ohne private Schlüssel zu stehlen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Der Angreifer nutzte fehlerhafte Relayer-Software aus, die Einzahlungen ausschließlich auf Basis von Empfängermemos validierte, ohne das tatsächliche Zahlungsziel zu überprüfen, und täuschte so das System, erfundene Einzahlungen als echte zu behandeln.“}},{„@type“:“Question“,“name“:“Warum genehmigten unabhängige Betreiber die betrügerischen Auszahlungen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Betreiber führten dieselbe verwundbare Software aus, die gefälschte Einzahlungsnachweise ungeprüft akzeptierte. Da jeder Relayer sich auf identische fehlerhafte Logik stützte, kamen sie alle zur selben falschen Schlussfolgerung und zeichneten Auszahlungen gegen, die nie legitim waren.“}},{„@type“:“Question“,“name“:“Wie fiel die offizielle Reaktion von Coreum und TX auf den Exploit aus?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“TX bestätigte den Vorfall, räumte ein, dass die Software Transaktionen, die tatsächlich nie XRP geliefert hatten, fälschlicherweise als echte Einzahlungen erfasste, und gab bekannt, dass gebridgte XRP auf der tx-Chain infolgedessen derzeit nicht vollständig gedeckt sind.“}},{„@type“:“Question“,“name“:“Welche rechtlichen Schritte wurden nach dem Hack unternommen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Laut der Stellungnahme von TX, mit der der Vorfall bestätigt wurde, wurde beim FBI eine Beschwerde bezüglich des Hacks eingereicht.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
