币圈界报道：

Coreum跨链桥漏洞致20万XRP流失，验证流程缺陷暴露

Coreum的跨链桥在一次攻击中损失约20万枚XRP，根源在于其负责验证存款的中继器未能确认资产是否抵达指定桥接钱包地址。攻击者通过伪造包装后的CORE代币转账，使验证系统误判为合法存款，进而触发多重签名授权流程，成功提取真实XRP。目前，Coreum已暂停相关桥接服务，调查团队正追踪被盗资金在多个中间钱包间的流转路径，凸显当前跨链架构在控制逻辑上的脆弱性。

中继节点缺失关键收款方校验环节

据xrpl.to分析，此次事件并非源于XRP账本自身机制缺陷，而是由于Coreum跨链桥的中继器在处理存款请求时，未对交易的实际接收地址进行有效验证。尽管攻击者操控的账户间转移的是包装版CORE代币，且这些交易带有可读备注信息，但中继系统未能识别其并未真正存入桥接器指定地址的事实。这使得伪造的存款在系统内被视作有效，最终导致攻击者账户余额虚增。

恶意支付获多重签名批准，私钥未遭泄露

调查确认，攻击者并未侵入桥接器多重签名钱包的私钥或密钥管理设施。相反，每笔非法提现均获得了桥接器28个中继节点中17个的签名支持，达到预设阈值。该过程完全依赖于既有的验证流程，说明问题出在逻辑判断层面，而非密钥安全性。这一发现表明，即便签名机制健全，若验证规则存在盲区，仍可能被恶意利用。

伪造交易路径掩盖真实来源，追踪难度上升

攻击者通过在多个自控XRP钱包间反复转移包装代币，制造出看似合规的存款记录。这些交易虽出现在桥接器账本的历史中，但实际并未将资产注入目标地址。由于中继器仅依据备注内容进行初步判定，忽略了实际到账状态，从而误将虚假流水认定为真实存款。后续据此发起的提现申请，顺利通过了标准审批流程，致使近20万XRP被转出至攻击者控制的地址。

跨链信任链受冲击，TX生态面临问责压力

此次事件牵连到与Coreum深度绑定的TX生态系统。作为原Sologenic项目升级后的品牌主体，TX致力于构建面向现实世界资产的跨链基础设施。其战略核心即依赖可信的跨链验证机制，而本次故障暴露出基础验证环节的重大疏漏。尽管事件发生前六周已有多个中间钱包创建，且资金在多地址间流动以混淆追踪，但截至当前，TX尚未发布官方复盘报告，引发市场对其透明度和风控能力的质疑。

根本原因归于桥接逻辑设计，非底层账本缺陷

综合链上数据分析，本次攻击的本质是验证流程中的关键校验步骤缺失，而非XRP网络本身存在漏洞。由于中继器未能核实原始资产是否抵达正确地址，导致伪造的存款信息被系统接受并转化为合法提现指令。这一结论明确将责任界定在Coreum的桥接实现层面，强调了跨链协议中“输入真实性”验证的重要性，警示其他项目需重新审视类似机制的设计严谨性。