Quasi 200.000 XRP, circa 202.000 dollari al cambio del momento, sono usciti da un ponte fra l’XRP Ledger e una catena collegata perché il software di rilevamento contava come versamenti dei depositi falsi: transazioni che non avevano mai consegnato un solo XRP al ponte. L’attacco risale al 9 agosto ed è stato riconosciuto dal progetto che gestisce l’infrastruttura, il quale ha fermato il ponte e sta valutando come risarcire gli utenti coinvolti.
La dinamica è più interessante della cifra. Non c’è stata una chiave rubata né un contratto bucato nel senso classico: il ponte ha creduto a quello che gli veniva raccontato, e ha coniato XRP privi di copertura sulla catena di destinazione contro versamenti che non esistevano.
Come nascono i depositi falsi dentro un ponte
Un ponte fra due catene ha un compito semplice da descrivere e difficile da eseguire: verificare che su una catena sia arrivato davvero un certo importo, e solo allora emettere l’equivalente sull’altra. Il controllo lo fanno programmi chiamati relayer, che osservano entrambe le catene e approvano i trasferimenti. In questo caso i relayer hanno scambiato transazioni che l’attaccante indirizzava a sé stesso per veri depositi in ingresso.
La ricostruzione fatta su registro pubblico è precisa: il ponte ha rilasciato circa 199.916 XRP con 94 pagamenti nell’arco di 97 minuti. Ogni pagamento è stato autorizzato da 17 dei 28 relayer previsti, cioè dalla firma multipla regolare del ponte. Non è stato aggirato niente: il meccanismo di consenso interno ha funzionato esattamente come progettato, su un presupposto sbagliato.
Vale la pena smontare anche la spiegazione circolata nelle prime ore, che attribuiva il prelievo al cosiddetto rippling, la funzione dell’XRP Ledger che fa transitare token emessi lungo le linee di fiducia. L’analisi del registro la esclude per un motivo tecnico non discutibile: l’XRP nativo non può essere ripplato, e ogni pagamento portava la firma della multifirma del ponte stesso.
Gli audit non avevano visto niente
Il progetto ha dichiarato che il ponte era passato per diverse revisioni, interne e di terze parti, prima del rilascio, e che nessuna aveva individuato la vulnerabilità. È un dettaglio che ricorre: le revisioni del codice cercano errori nella logica dei contratti, mentre qui il difetto stava nel modo in cui un componente fuori catena interpretava eventi in catena. È la zona grigia dove le verifiche formali si fermano.
Il seguito segue il copione ormai noto. L’attaccante ha convertito l’XRP sottratto in Ethereum, ha spostato il saldo sulla rete Ethereum attraverso un protocollo di scambio fra catene e ha inviato l’intero importo a un mixer, rendendo la tracciatura molto più difficile. Il progetto ha bloccato il ponte, corretto il codice, tracciato i fondi e presentato denuncia all’ufficio federale statunitense che raccoglie i reati informatici, affiancandosi a specialisti di analisi forense.
Perché i depositi falsi contano più dei 202.000 dollari
La cifra è modesta rispetto ai grandi furti dell’anno, come mostrano i numeri del primo semestre 2026, dove il bottino medio per attacco è stato molto più alto. Ma la categoria di errore è fra le più costose in assoluto quando colpisce un ponte grande: un difetto nel riconoscimento dei versamenti permette di emettere valore dal nulla, e il limite al danno non è la dimensione del bug ma la liquidità disponibile nel ponte.
Per chi tiene fondi su una catena collegata, la lettura pratica è che il rischio del ponte è distinto dal rischio della catena. L’XRP Ledger non ha avuto alcun problema, il prezzo di XRP non si è mosso in modo apprezzabile e resta intorno al dollaro. A rompersi è stato il pezzo di software che traduce fra due mondi, che quasi sempre è la parte meno osservata e la più fragile dell’intera struttura.
Il ponte resta fermo mentre il progetto rivede la propria sicurezza. Agli utenti è stato detto di non fare nulla e di diffidare di account o siti che promettono di recuperare i fondi: nelle ore successive a un incidente, la seconda ondata di perdite arriva quasi sempre da lì.
Contenuti a fini formativi, non consulenza finanziaria.