Hack du Coreum Bridge : 200 000 XRP volés par une faille

Le bridge Coreum, une infrastructure reliant le XRP Ledger à plus de 110 blockchains compatibles IBC, s’est fait siphonner 199 916 XRP dans la nuit du 9 août 2026. L’attaquant n’a eu besoin ni d’un piratage du XRP Ledger ni de la compromission d’une clé privée : il a découvert et exploité un défaut de validation des dépôts dans la logique du relais, trompant les signataires du portefeuille multisignature jusqu’à vider la quasi-totalité des réserves. Au 11 août, les fonds n’avaient pas été retrouvés et le bridge demeurait suspendu.

Au programme :

• Un bridge multisig vidé en 97 minutes par 94 transactions frauduleuses sans compromission de clé.
• Une faille de validation qui a injecté 199 916 XRP de faux dépôts pour extraire des fonds réels.
• Un incident qui alourdit le bilan semestriel : plus de 650 millions de dollars perdus sur des failles de bridges en 2026.

Lancé le 20 mars 2024, le Coreum Bridge connecte le XRP Ledger à l’écosystème Cosmos et à plus de 110 chaînes interopérables. Il utilisait un portefeuille multisignature à 28 relais, dont 17 signatures étaient nécessaires pour valider un retrait. L’exploit du 9 août a contourné cette sécurité collective non pas en la cassant, mais en lui faisant croire que les ordres de retrait étaient légitimes. Un mécanisme comparable au hack du bridge Wormhole, où une faille de vérification avait permis de contourner les garde-fous.

Le solde du portefeuille est passé de 200 410 XRP à 493,5 XRP en moins de deux heures, selon les données on-chain citées par Wu Blockchain. Les 94 transactions malveillantes, toutes signées par le multisig, confirment la nature systémique de la vulnérabilité. Cette attaque rappelle que les bridges restent des cibles privilégiées : plus de 2,5 milliards de dollars leur ont été dérobés en 2022.

Comment l’attaquant a-t-il contourné un multisig à 17 signatures ?

L’exploit repose sur une injection de faux dépôts. L’attaquant a envoyé au relais des opérations qui ressemblaient à des entrées de fonds valides. Le pont, pensant détecter un dépôt, déclenchait un paiement en XRP sur l’autre chaîne : un paiement bien réel, lui. En 97 minutes, 94 transactions de retrait ont abouti, toutes signées par le mécanisme multisignature. Le mode opératoire rappelle le hack Alephium, où une compromission de la validation interne avait permis un siphonnage rapide.

« L’attaquant a exploité une faille de validation dans la logique du relais : le système traitait les fausses opérations de dépôt comme réelles, poussant le portefeuille du pont à libérer des XRP. »

Le protocole de validation défaillant trompait donc les 17 signataires requis : le multisig approuvait, mais ne vérifiait pas que le dépôt initial ait existé. Une méthodologie différente des attaques classiques comme le hack du wallet Atomic ou le détournement de Ronin, où des clés privées étaient directement compromises.

Quelles leçons pour la sécurité des bridges inter-chaînes ?

L’incident Coreum expose un talon d’Achille récurrent : la vérification des événements côté chaîne source avant d’émettre des actifs côté destination. Quand le relais ne valide pas l’existence réelle d’un dépôt, la signature collective ne protège plus rien. La sécurité d’un bridge repose moins sur le nombre de signataires que sur l’intégrité de la couche de validation. Le piratage de Multichain en 2023 illustrait déjà ce principe à plus grande échelle (117 millions de dollars).

Pour les utilisateurs, le risque est double. D’abord, les fonds pontés sont exposés : un audit des vulnérabilités cross-chain antérieur aurait peut-être détecté ce défaut. Ensuite, la suspension du service prive les détenteurs de liquidité de leurs actifs pontés, parfois pour plusieurs semaines. Le précédent du hack Mirror Protocol avait montré des conséquences similaires sur la disponibilité des fonds. En 2026, plus de 650 millions de dollars ont déjà été perdus au premier semestre à cause de ce type d’incidents, selon un bilan de Beosin.

À retenir

Le hack du bridge Coreum montre qu’une architecture multisignature, même à 17 signataires, reste vulnérable à une faille de validation logicielle. L’attaque a siphonné 199 916 XRP en 97 minutes sans toucher au XRP Ledger lui-même, un mode opératoire qui s’ajoute à la longue série des hacks de bridges. Le protocole devrait publier un rapport d’incident prochainement ; d’ici là, le pont reste verrouillé.

Questions fréquentes

Comment l’attaquant a-t-il vidé le bridge sans voler de clé privée ?

L’exploit a injecté de fausses transactions de dépôt dans le relais du bridge. Le système, croyant à des entrées légitimes, a validé 94 retraits réels de XRP en 97 minutes, sans jamais nécessiter la compromission d’une clé privée ni du XRP Ledger lui-même.

Les fonds des utilisateurs sont-ils définitivement perdus ?

Les 199 916 XRP siphonnés représentent la quasi-totalité des réserves du portefeuille multisig. Au 11 août 2026, les fonds n’avaient pas été retrouvés et le bridge restait suspendu. L’équipe Coreum n’a pas encore communiqué sur une éventuelle compensation.

Ce type d’attaque peut-il se reproduire sur d’autres bridges ?

Oui. Tout bridge dont la couche de validation ne vérifie pas rigoureusement la réalité des dépôts côté chaîne source est vulnérable. En 2022, plus de 2,5 milliards de dollars ont déjà été volés via ce type de faille, un chiffre qui a encore augmenté depuis.