بعد مرور يومين على الحادثة، تبيّن أن جسر كوريم (Coreum) العابر للسلاسل فقد حوالي 200,000 عملة XRP خلال هجوم استمر 97 دقيقة. النظريات الأولية على وسائل التواصل الاجتماعي ربطت الحادث بثغرة في خاصية “التحويل المتسلسل” (rippling) في دفتر حسابات XRP.
لكن تقريراً تحليلياً من منصة xrpl.to أظهر أن الجسر سرق نفسه بنفسه بشكل فعلي، وذلك لأنه وثق في معاملات المهاجم بشكل أعمى.
كيف ضاعت 200,000 XRP؟
عملة XRP الأصلية ليس لها مُصدر أو خطوط ثقة، لذلك فإن خاصية “التحويل المتسلسل” مستحيلة تقنياً بالنسبة لها. علاوة على ذلك، تم توقيع كل عملية دفع خبيثة باستخدام التوقيع المتعدد الشرعي الخاص بالجسر نفسه، مع نصاب قانوني يبلغ 17 من أصل 28 مفتاحاً للمرحّلين أو المدققين. المهاجم لم يخترق المفاتيح، لكنه ببساطة خلق وهم إيداع للمدققين.
أولاً، قام المهاجم بتحويل الرموز المميزة المغلفة الخاصة به، والتي تسمى wrapped-CORE، بين محافظ يتحكم بها، مع إرفاق مذكرة تحتوي على تفاصيل التحويل الخاصة بكوريم في هذه المعاملات. وبما أن الرموز المغلفة كانت قد صدرت بواسطة الجسر نفسه، فقد ظهرت التحويلات في سجل معاملاته دون أي مشاكل.
وهنا ظهرت النقطة العمياء في النظام. كان مشغلو المرحّلين يتحققون فقط مما إذا كان التحويل قد حدث وما هو مكتوب في حقل المذكرة، بينما تجاهلوا تماماً عنوان المستلم.
التحقق الذي يؤكد أن الأموال قد أُرسلت فعلياً إلى محفظة الجسر لم يُضف أبداً إلى كود المرحّلين.
ونتيجة لذلك، قبلت كوريم الإيداعات المزيفة وأضافت رصيداً للمهاجم على شبكتها. ثم طلب المهاجم سحباً عادياً، فقام المدققون بتوقيع المعاملات التي أرسلت 200,000 XRP حقيقية من محفظة XRPL الخاصة بالجسر دون أي تردد.
يمتلك الفريق المسؤول عن أمن الجسر تاريخاً طويلاً من إعادة التسمية والعلامات التجارية. فقد أنشأ في البداية مشروع سولوجينيك (SOLO) على منصة XRPL، ثم أطلق سلسلة الكتل الخاصة به من الطبقة الأولى باسم كوريم، وفي مارس 2026 دمج النظامين البيئيين تحت العلامة التجارية الأمريكية TX، التي تركز على تحويل الأصول الحقيقية إلى رموز رقمية (RWAs).
حقيقة أن شركة أمريكية خاضعة للتنظيم تدّعي مكانة مؤسسية يمكنها ارتكاب مثل هذا الخطأ الأساسي في منطق التحقق العابر للسلاسل، يضر بسمعة TX أكثر من المبلغ المفقود نفسه.
هذا الأمر ينقل مسألة تحديد المسؤولية من نطاق خطأ برمجي عشوائي إلى نطاق مراقبة الجودة النظامية داخل الشركة.
ماذا يحدث للرموز الآن؟
حتى وقت كتابة هذا التقرير، لم يصدر فريق TX بعد تقريراً رسمياً بعد الحادث. ولا يزال جسر كوريم معلقاً تماماً.
هوية المهاجم لا تزال مجهولة، لكن المتتبعين على السلسلة يرون بالفعل محاولة كلاسيكية لإخفاء الآثار. يتم توزيع عملات XRP المسروقة بسرعة عبر سلسلة من المحافظ الوسيطة التي أُنشئت قبل شهر ونصف من الهجوم.
- منفذ الهجوم استغل ثقة الجسر العمياء بالتحويلات الموقعة ذاتياً.
- المدققون لم يتحققوا من عنوان المستلم، مما سمح بقبول إيداعات مزيفة.
- الجسر ما زال معلقاً ولم يُنشر تقرير رسمي بعد الحادثة.
الأسئلة الشائعة
كيف تمكن المهاجم من سرقة 200,000 XRP من جسر كوريم؟
تمكن المهاجم من خلق وهم إيداع للمدققين عن طريق تحويل رموز مغلفة بين محافظ يملكها هو، مع إرفاق مذكرات تحتوي تفاصيل التحويل المطلوبة. وبما أن المدققين كانوا يتحققون فقط من حدوث التحويل ومحتوى المذكرة، وليس عنوان المستلم، فقد قبلت كوريم هذه الإيداعات المزيفة وصرفت المبلغ الحقيقي.
هل تم اختراق المفاتيح الخاصة بالجسر؟
لا، لم يتم اختراق المفاتيح. تم توقيع جميع المعاملات الخبيثة باستخدام التوقيع المتعدد الشرعي للجسر نفسه بعدد 17 من أصل 28 مفتاحاً. المهاجم اعتمد على ثغرة في منطق التحقق، وليس على كسر التشفير أو سرقة المفاتيح.
ماذا سيحدث لعملات XRP المسروقة؟
حتى الآن، يقوم المهاجم بتوزيع الأموال المسروقة عبر محافظ وسيطة أُنشئت قبل الهجوم في محاولة لإخفاء الآثار. لم ينشر فريق TX تقريراً رسمياً بعد الحادث، ولا يزال جسر كوريم معلقاً بالكامل في انتظار التحقيقات وإجراءات استعادة الأموال.
