Coriumのクロスチェーンブリッジで、約20万XRPが不正に流出した。原因はXRP Ledger（XRPL）の機能的な欠陥ではなく、ブリッジ側の入金検証ロジックの不備だったことが分かった。

ブロックチェーンメディアのU.Todayによると、攻撃は11日（現地時間）に発生し、約97分間続いた。攻撃者はブリッジの検証手順を迂回し、約20万XRPを持ち去ったという。

攻撃者は、検証者による入金確認手続きの不備を突いた。実際には資金を入金していないにもかかわらず、正規の取引に見える形を作り、ブリッジ側に出金を実行させたとされる。

事件直後には、XRPLの「Rippling」機能が悪用されたとの見方がソーシャルメディア上で広がった。ただ、XRPLの分析サイトxrpl.toは、原因はブリッジ側の入金検証プロセスにあると結論付けた。

xrpl.toによれば、ネイティブXRPには発行者やTrust Lineが存在しないため、技術的にRipplingは起こり得ない。不正出金もXRPL側の異常な機能を利用したものではなく、ブリッジの正規のマルチシグ署名によって承認されていた。

Coriumブリッジは、28本のリレイヤー鍵のうち17署名がそろうと取引を承認する仕組みで運用されていた。攻撃者は鍵そのものを奪取したわけではなく、リレイヤーが「実際に資金が入金されたか」を十分に確認していなかった点を悪用した。

具体的には、攻撃者は自ら管理するウォレット間で、ブリッジが発行したWrapped-Coreトークンを移動させ、取引メモ欄にCorium送金情報を記入した。見た目にはブリッジ発行トークンの正規取引のように見えるため、オンチェーン記録だけでは実際に入金があったかのように見えたという。

問題は、リレイヤー運用者の検証方法にあった。取引が発生していることやメモ欄の内容は確認していた一方で、受取先アドレスがブリッジの入金アドレスかどうかは確認していなかった。

つまり、誰かがトークンを送った事実は確認していたものの、そのトークンが実際にブリッジへ送られたかまでは検証していなかったことになる。実資金がブリッジのウォレットに入ったかを確認する手順自体が、リレイヤーのコードから欠落していたと分析されている。

攻撃者はこの欠陥を利用し、実際には存在しない入金を正規の入金と誤認させた。その結果、Coriumネットワーク上では、裏付けとなる入金のない残高が付与された。

その後、攻撃者が通常の出金手続きを要求すると、リレイヤーはこれを正規の出金と判断した。17署名の定足数がそろい、ブリッジのXRPLウォレットから約20万XRPが攻撃者側のアドレスへ送金された。

xrpl.toは今回の事案について、ブリッジが攻撃者の取引を事実上、盲目的に信用した事例だと指摘した。XRPLが攻撃者に直接資金を渡したのではなく、ブリッジの検証システムが偽の入金を信じ込み、実際のXRPを払い出した構図だとしている。

今回の流出を受け、ブリッジ運営主体であるTXのセキュリティ管理体制にも厳しい目が向きそうだ。TXのセキュリティチームは過去にXRPL基盤のSologenicを構築し、その後、自社のレイヤー1ブロックチェーンとしてCoriumを立ち上げた。

さらに2026年3月には、米ブランド「TX」の下で2つのエコシステムを統合した。

TXは、実物資産連動型資産（RWA）を前面に打ち出し、機関投資家向けブロックチェーン事業を拡大してきた。ただ、今回の事案では、比較的基本的なクロスチェーン入金の検証手順が欠落していたことが明らかになり、品質管理やセキュリティ検証体制への批判が強まる可能性がある。

現時点でTXチームは、公式の事後分析レポートを公表していない。Coriumブリッジも停止したままだ。

責任を巡る議論も、単なるコード上の不具合にとどまらず、開発体制やセキュリティ検収体制全般の問題へと広がっている。

攻撃者の身元は確認されていない。一方、オンチェーン上では、流出したXRPが短時間のうちに複数の中継ウォレットへ移され、資金洗浄を試みたとみられる動きも確認された。

これらのウォレットは、攻撃のおよそ1カ月半前に作成されたと分析されている。

市場の関心は、今後TXが公表する公式の事故報告書に集まっている。ブリッジの検証ロジックがなぜ攻撃を許したのか、流出したXRPの追加流出を止められるのか、またセキュリティ対策の強化後にいつブリッジサービスを再開するのかが、今後の焦点となる。