Quasi 20 mln $ di XRP sottratti da 6.678 wallet in sei ondate di attacchi

Quasi 20 mln $ di XRP sono stati sottratti da migliaia di hardware wallet in sei ondate distribuite nell'arco di quasi una settimana.

La società di analisi della blockchain XRPL.to ha tracciato 11,75mln XRP in uscita da 6.678 wallet distinti tra il 15 e il 20 settembre, comprese diverse ondate di raccolta dopo che DCENT aveva avvertito gli utenti di trasferimenti non autorizzati che coinvolgevano il suo App Wallet mobile.

Al prezzo attuale di XRP, pari a circa 1,59 $, i token valgono approssimativamente 18,68 mln $.

XRPL.to fa risalire il primo svuotamento individuato alle 15:35 UTC del 15 settembre. DCENT ha dichiarato di aver ricevuto in Corea la prima segnalazione da un cliente il 16 settembre e di aver iniziato quel giorno a informare gli utenti tramite la propria app e i canali ufficiali. XRP sottratti dai wallet D'CENT (Fonte: XRPL.to)

In seguito, i prelievi sono ripresi.

Secondo XRPL.to, una nuova ondata di raccolta è iniziata alle 07:05 UTC del 17 settembre, mentre l'ultimo svuotamento incluso nell'indagine è avvenuto alle 20:56 UTC del 20 settembre.

L'investigatore ha contato 4.208 wallet svuotati tramite transazioni di pagamento e altri 2.470 prosciugati tramite l'eliminazione dell'account, senza un pagamento precedente nei dati tracciati. Ha inoltre individuato 5.001 transazioni AccountDelete provenienti da 4.950 wallet, compresi account che erano già stati svuotati parzialmente.

L'eliminazione dell'account ha consentito a chi controllava le chiavi di prelevare i saldi che le normali transazioni di pagamento avrebbero potuto lasciare sul conto. Gli account XRP Ledger (XRPL) mantengono una riserva finché restano aperti, ma una transazione AccountDelete può chiudere un account idoneo e trasferire gli XRP rimanenti, al netto della commissione di eliminazione, a un altro indirizzo.

Una di queste eliminazioni ha trasferito 107.507 XRP, per un valore di circa 171.000 $ ai prezzi attuali.

XRPL.to ha dichiarato che le transazioni di pagamento e di eliminazione erano state firmate validamente con le chiavi degli account interessati. La traccia sulla blockchain non rivela come siano state ottenute quelle chiavi e DCENT non ha ancora reso nota la causa tecnica dell'incidente.

Oltre 5,6mln XRP trasferiti tramite THORChain

Quando gli investigatori hanno ricostruito i flussi, gran parte degli XRP rubati aveva già iniziato a lasciare XRP Ledger.

XRPL.to ha tracciato 5,67mln XRP attraverso THORChain alle 11:26 UTC del 21 settembre, compresi circa 5,59mln XRP inviati da due ondate di raccolta tramite transazioni i cui memo indicavano indirizzi di destinazione su Ethereum.

Altri 3,24mln XRP sono confluiti in unionchain.ai, che XRPL.to ha descritto come un exchange, mentre circa 546.080 XRP sono arrivati a NEAR Intents e 535.666 XRP sono stati trasferiti su tag di deposito di Binance.

Al momento della rilevazione dell'investigatore, circa 1,31mln XRP erano ancora in wallet collegati all'operazione.

Le destinazioni complicano i tentativi di recuperare gli asset. THORChain e NEAR Intents possono spostare valore tra reti, creando ulteriori tracce che gli investigatori devono seguire dopo che gli XRP sono stati scambiati con asset su un'altra blockchain.

Nel frattempo, i trasferimenti verso indirizzi collegati agli exchange potrebbero offrire possibili punti di intervento, anche se un indirizzo di deposito, da solo, non dimostra che i fondi siano stati venduti o siano ancora accessibili.

DCENT ha dichiarato di collaborare con le forze dell'ordine coreane, specialisti esterni di sicurezza, progetti blockchain ed exchange per tracciare il denaro e richiedere, ove possibile, il congelamento dei fondi.

La società non ha annunciato alcun congelamento o recupero completato. Ha affermato che qualsiasi intervento di questo tipo dipende dalle forze dell'ordine, dagli exchange e da altre terze parti che controllano i servizi attraverso i quali sono transitati i fondi.

DCENT invita i titolari ad abbandonare le frasi di recupero esposte

Il proseguire degli svuotamenti ha spinto DCENT a intensificare l'avvertimento il 20 settembre, chiedendo alla più ampia comunità blockchain e crypto di contribuire a raggiungere gli utenti di App Wallet che potrebbero non aver visto gli avvisi precedenti.

"Il passo più importante per prevenire ulteriori danni è spostare gli asset fuori da DCENT App Wallet", ha dichiarato la società, invitando gli utenti e le community crypto a condividere direttamente le proprie indicazioni con chiunque sappiano utilizzare l'app.

DCENT ha chiesto agli utenti interessati di aggiornare l'app da uno store ufficiale prima di procedere e di trasferire i propri fondi su un wallet creato con una frase di recupero completamente nuova.

Questo requisito si applica anche ad alcuni utenti di hardware wallet.

DCENT ha dichiarato che chiunque abbia precedentemente inserito o ripristinato la frase di recupero di un hardware wallet all'interno di App Wallet dovrebbe seguire la stessa procedura di migrazione. Reinserire la stessa frase su un dispositivo hardware non genera nuove chiavi private: qualsiasi precedente esposizione resta quindi associata alla frase anche sul nuovo dispositivo.

I criteri della società per valutare i potenziali impatti includono anche gli indirizzi la cui frase di recupero è stata utilizzata in App Wallet e che hanno firmato transazioni con una versione dell'app precedente alla 8.1.0, rilasciata il 5 novembre 2025. Anche agli utenti che hanno aggiornato successivamente il software viene chiesto di verificare quale versione fosse installata quando hanno firmato le transazioni in precedenza.

Secondo DCENT, gli utenti di hardware wallet che non hanno mai inserito la propria frase di recupero in App Wallet e non hanno mai utilizzato il wallet software per firmare transazioni non devono migrare in base ai criteri attuali.

La società ha inoltre avvertito gli utenti di una seconda ondata di potenziali perdite causate da impostori che sfruttano l'incidente. DCENT ha dichiarato che non chiederà mai una frase di recupero, una chiave privata o un PIN e non fornirà un indirizzo wallet a cui gli utenti debbano inviare asset per recuperarli o ricevere un risarcimento.

Agli utenti che hanno già subito trasferimenti non autorizzati, DCENT ha comunicato il 20 settembre che stava ancora sviluppando una procedura per determinare l'entità dell'impatto e lo stato degli asset interessati.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.