beh, a questo punto bisogna "semplicemente" appurare se effettivamente si tratta di un bug di XRB oppure no.
Io ho letto che anche altre monete venivano prelevate senza avere effettivo balance, perché il codice javascript (non so se tutto o parziale) che gestiva i prelievi era lato client e quindi modificabile.