Isang attacker ang nakakuha ng halos 200,000 XRP, na nagkakahalaga ng humigit-kumulang $202,000, mula sa isang XRP Ledger bridge noong Agosto 9 sa pamamagitan ng pagsasamantala sa isang kapintasan sa software nitong pang-detect ng deposito, ayon sa proyekto.

Sa isang post sa X noong Martes, sinabi ng Tx, na nagpapatakbo ng bridge na nagkokonekta sa Tx Chain at sa XRP Ledger, na isang kapintasan sa software ang naging sanhi upang irekord ng bridge ang mga transaksyon bilang XRP deposits kahit na walang XRP na natanggap.

“Sinasamantala ng attacker ang logic ng pag-detect ng deposito ng bridge,” isinulat ng kumpanya. “Ang software ng bridge ay mali ang pagrehistro ng mga transaksyon na hindi naman talaga naghatid ng anumang XRP sa bridge bilang mga deposito, at nag-mint ng bridged XRP sa Tx chain laban sa mga ito.”

Ang Tx ay isang layer-1 blockchain ecosystem na inilunsad noong Marso sa pamamagitan ng pagsasama ng Coreum blockchain sa Sologenic, isang platform ng tokenization at trading na batay sa XRP Ledger.

Ginamit ng attacker ang mga mapanlinlang na deposito upang lumikha ng walang-suportang XRP sa Tx Chain, pagkatapos ay ipinagpalit ito sa pamamagitan ng bridge para sa tunay na XRP.

Ayon sa Tx, ang bridge ay sumailalim sa ilang internal at third-party audits bago ilunsad, ngunit hindi natukoy ang kahinaan.

Natuklasan ng XRPL, isang independent XRP Ledger trading at analytics platform, na inilabas ng bridge ang humigit-kumulang 199,916 XRP sa pamamagitan ng 94 na bayad sa loob ng 97 minuto. Ang bawat bayad ay pinahintulutan ng 17 sa 28 relayers ng bridge, mga programa na nagbabantay sa parehong blockchains at nag-aapruba ng mga paglilipat.

Ayon sa XRPL, nagkamali ang mga relayer sa pag-akala na ang mga self-directed na transaksyon ng attacker ay mga deposito. Pagkatapos ay inalis ng attacker ang nagresultang walang-suportang balanse sa pamamagitan ng normal na proseso ng bridge.

Tinanggihan ng pagsusuri ang paunang pahayag na ang XRP ay nakuha sa pamamagitan ng “rippling,” isang feature ng XRPL na naglilipat ng mga inisyung token sa mga trust line. Hindi makagalaw ang native XRP sa pamamagitan ng rippling, ayon sa XRPL.

“Ang isang malawakang ibinahaging babala ay sinisi ang “rippling” at isang on-by-default account flag. Sinasabi ng ledger ang kabaligtaran: bawat isa sa mga bayad na iyon ay nilagdaan ng sariling multisig ng bridge, at hindi maaaring ma-ripple ang native XRP,” isinulat ng XRPL. “Sa pagsasama ng dalawang pampublikong chain, ang tunay na sanhi ay isang relayer na nagkamali sa pag-akala na ang sariling bayad ng attacker ay mga deposito.”

Sa isang hiwalay na post sa X, sinabi ni Reza Bashash, isang principal sa CoreNest Capital at co-founder ng Sologenic at Coreum, na kinonvert ng attacker ang ninakaw na XRP sa Ethereum, inilipat ito sa Ethereum network sa pamamagitan ng THORChain, at ipinadala ang buong halaga sa crypto mixer na Tornado Cash, na nagpapahirap sa pagsubaybay sa mga pondo.

Sinabi ng Tx na pinahinto nito ang bridge, inayos ang apektadong code, sinubaybayan ang mga ninakaw na pondo, at naghain ng reklamo sa Internet Crime Complaint Center ng FBI. Nag-hire din ito ng mga blockchain forensics specialist at nakikipagtulungan sa mga security partner.

“Habang hinahabol namin ang lahat ng legal na landas, sabay-sabay naming sinusuri ang lahat ng opsyon para sa paglutas ng sitwasyon para sa mga apektadong gumagamit,” sabi ng Tx.

Mananatiling offline ang bridge habang sinusuri ng Tx ang seguridad nito. Sinabi ng proyekto na hindi kailangang kumilos ang mga may hawak at nagbabala laban sa mga account o website na nagsasabing kaya nilang bawiin ang pondo.

Hindi gaanong gumalaw ang presyo ng XRP, sa kabila ng mga isyu sa network. Ang token na konektado sa Ripple ay patuloy na nananatili sa humigit-kumulang $1, na may humigit-kumulang $64 bilyong market cap, at bumaba ng humigit-kumulang 5.5% sa nakaraang 30 araw.

Ang mga trader sa Myriad, isang prediction market na binuo ng parent company ng Decrypt, ay kasalukuyang naniniwala na ang XRP ay mananatili sa $1 na presyo para sa natitirang bahagi ng linggo.