Puntos clave de la noticia:
- Casi 200.000 XRP, valorados en unos $200.000, fueron drenados después de que el software del puente aceptara depósitos falsos y emitiera XRP puenteado sin respaldo.
- El atacante canjeó esos saldos sintéticos por XRP reales, mientras 17 de 28 relayers aprobaron pagos porque los registros internos mostraban depósitos falsamente legítimos.
- Tx detuvo el puente, corrigió la falla, contrató especialistas forenses y presentó una denuncia al FBI, pero aún no explicó cómo compensará a los afectados.
Un puente de XRP que conectaba XRP Ledger con tx fue drenado por casi 200.000 XRP, valorados en unos $200.000, después de que el software aceptara por error depósitos falsos como legítimos. El atacante aprovechó la falla para crear XRP puenteado sin respaldo y luego intercambiar esos saldos sintéticos por XRP reales almacenados en la billetera de reserva. Lo más inquietante es que los propios registros del puente convencieron a sus relayers de que todo funcionaba correctamente. El incidente se desarrolló durante 97 minutos el 9 de agosto, antes de que los operadores detuvieran el sistema y comenzaran a rastrear el destino de los tokens robados.
Los depósitos falsos exponen una falla crítica en la lógica del puente de XRP
El puente estaba diseñado para funcionar como una bóveda acompañada de recibos digitales. Los usuarios depositaban XRP en una billetera de reserva de XRP Ledger y recibían una cantidad equivalente en la cadena conectada. Al devolver esos tokens puenteados, deberían liberarse los XRP originales. El exploit rompió esa relación básica al generar recibos sin que ningún depósito real entrara en la bóveda. Según tx, el software reconocía como depósitos las transacciones que incluían el memo del puente, incluso cuando ningún XRP llegaba a la reserva, permitiendo al atacante fabricar derechos sobre fondos reales mediante un mecanismo repetitivo.
La falla también mostró cómo una aprobación automatizada puede amplificar una suposición incorrecta. El drenaje comenzó a las 19:16 UTC y cada pago fue aprobado por 17 de los 28 relayers del puente, una mayoría que actuaba exactamente como estaba programada porque el sistema mostraba los depósitos como legítimos. El problema central estaba por debajo del propio consenso de los relayers: el código comprobaba el memo, pero no verificaba primero la dirección de destino. Una vez explotada esa omisión, los firmantes distribuidos terminaron autenticando retiros basados en información interna falsa.
Tx afirma que el puente fue detenido, el código vulnerable fue identificado y corregido, y especialistas en análisis forense blockchain fueron contratados para investigar. El proyecto también presentó una denuncia ante el Internet Crime Complaint Center del FBI, mientras el seguimiento onchain mostró que la mayor parte de los XRP robados pasó por varias direcciones en cuestión de horas. La principal incógnita ahora afecta a los usuarios respaldados por la reserva agotada, porque tx todavía no ha explicado cómo serán compensados. El episodio demuestra cómo una comprobación aparentemente menor puede comprometer un puente distribuido si todos los validadores dependen del mismo registro erróneo.
