CoreumとXRPLのクロスチェーン・ブリッジに検証不備、約20万XRPが流出

CoinDeskによると、CoreumとXRP Ledger（XRPL）を接続するクロスチェーン・ブリッジで検証ロジックの脆弱性が見つかり、約97分の間に約200,000 XRPが不正に引き出された。 市場アナリストのXaif Cryptoは、攻撃者が秘密鍵を入手したりXRPL本体を侵害したりしたわけではなく、ブリッジのリレイヤー（relayer）処理にある欠陥を突いて未承認の出金を成立させたと説明している。問題はリレー検証にあり、ブリッジソフトが転送情報を検証する際、実際の受取アドレスを適切に確認せず、取引の備考（remarks）を根拠に入金の正当性を判定していた可能性がある。この設計だと、偽造取引が正規の入金として誤認され、ブリッジ側で実在のXRPが解放され得る。 報道によれば、攻撃者は約97分で94回の連続支払いを実行し、ブリッジシステムから実資産が放出されたとされる。影響を受けたのはCoreumとXRPLをつなぐインフラで、XRPLのコンセンサス機構や基盤暗号ではない。 ブリッジサービスは停止済みで、Coreumのクロスチェーン・ブリッジが一時停止されたことが伝えられている。全容調査とインシデント報告は継続中で、脆弱性の悪用手順や移転したXRPの送付先について、追加分析で詳細が示される見通しだ。 一般にクロスチェーン・ブリッジは、片方のチェーンで資産が真正にデポジットされたことをリレイヤーと検証システムで確認したうえで、他方のチェーンで対応資産を解放する。検証が破綻すると、基盤ブロックチェーンが正常に稼働していても、攻撃者はブリッジ経由で実資金を引き出せる。 加えて同レポートは、韓国・ソウル警察がFlare Networkを装った偽のXRPステーキング案件で71人の投資家をだまし、約3.4百万XRPを詐取した疑いで3人を逮捕したとも伝えた。XRP Ledger Foundationも以前、Ripple名義でXRP報酬を配布すると偽り、ウォレットのスキャンを促して参加を誘導する詐欺が流通しているとして注意喚起している。 今回の一連の事例は、XRPユーザーがソフトウェア脆弱性に加え、偽プロジェクトやソーシャルエンジニアリング詐欺にも直面している現状を浮き彫りにする。市場参加者にとっての要点は、損失がXRPLのメインチェーンではなくブリッジ層で発生した点だ。ブリッジ、カストディ、周辺アプリを通じた資産移動が増えるほど、こうしたインフラの検証設計が暗号資産エコシステムの弱点になりやすい。