Niemal 20 mln $ XRP wyprowadzono z 6 678 portfeli w sześciu falach ataków

Niemal 20 mln $ XRP wyprowadzono z tysięcy portfeli sprzętowych w sześciu falach, które trwały prawie tydzień.

Firma analityczna blockchain XRPL.to prześledziła odpływ 11,75mln XRP z 6 678 różnych portfeli między 15 a 20 września. Obejmowało to kilka fal wyprowadzania środków po tym, jak DCENT ostrzegło użytkowników przed nieautoryzowanymi transferami z użyciem aplikacji App Wallet.

Przy obecnej cenie XRP wynoszącej około 1,59 $ wartość tokenów to w przybliżeniu 18,68 mln $.

XRPL.to datuje pierwsze zidentyfikowane opróżnienie portfeli na 15:35 UTC 15 września. DCENT poinformowało, że pierwsze zgłoszenie od klienta w Korei otrzymało 16 września. Tego samego dnia zaczęło powiadamiać użytkowników za pośrednictwem aplikacji i oficjalnych kanałów. XRP wyprowadzane z portfeli D'CENT (źródło: XRPL.to)

Następnie opróżnianie portfeli wznowiono.

Według XRPL.to kolejna fala wyprowadzania środków rozpoczęła się 07:05 UTC 17 września, a ostatnie opróżnienie uwzględnione w dochodzeniu miało miejsce 20:56 UTC 20 września.

Badacz naliczył 4 208 portfeli opróżnionych za pomocą transakcji płatniczych oraz kolejne 2 470 portfeli opróżnionych przez usunięcie konta bez wcześniejszej płatności w prześledzonym zbiorze danych. Zidentyfikował również 5 001 transakcji AccountDelete pochodzących z 4 950 portfeli, w tym z kont, z których wcześniej wyprowadzono już część środków.

Usunięcie konta umożliwiło osobie kontrolującej klucze wyprowadzenie sald, które mogły pozostać po zwykłych transferach płatniczych. Konta XRP Ledger (XRPL) utrzymują rezerwę, dopóki pozostają otwarte, ale transakcja AccountDelete może zamknąć kwalifikujące się konto i przesłać pozostałe XRP na inny adres, pomniejszone o opłatę za usunięcie.

W ramach jednej takiej operacji usunięcia przeniesiono 107 507 XRP o wartości około 171 000 $ według obecnych cen.

XRPL.to poinformowało, że transakcje płatnicze i transakcje usunięcia zostały prawidłowo podpisane kluczami należącymi do poszkodowanych kont. Ślad w blockchainie nie ujawnia, w jaki sposób pozyskano te klucze, a DCENT nie podało jeszcze technicznej przyczyny incydentu.

Ponad 5,6mln XRP przepłynęło przez THORChain

Wiele skradzionych XRP zaczęło opuszczać XRP Ledger, zanim śledczy zmapowali przepływy.

XRPL.to prześledziło 5,67mln XRP przepływających przez THORChain na dzień 11:26 UTC 21 września. W tej kwocie znalazło się około 5,59mln XRP przesłanych z dwóch fal wyprowadzania środków w transakcjach, których pola memo zawierały adresy docelowe Ethereum.

Kolejne 3,24mln XRP trafiło do unionchain.ai, które XRPL.to opisało jako giełdę. Około 546 080 XRP dotarło do NEAR Intents, a 535 666 XRP wpłynęło na adresy depozytowe Binance.

W chwili sporządzania zrzutu danych przez badacza około 1,31mln XRP pozostawało w portfelach powiązanych z tą operacją.

Te miejsca docelowe utrudniają odzyskanie aktywów. THORChain i NEAR Intents umożliwiają przenoszenie wartości między sieciami, tworząc dodatkowe ślady, które śledczy muszą zbadać po wymianie XRP na aktywa w innym blockchainie.

Tymczasem transfery na adresy powiązane z giełdami mogą stanowić potencjalne punkty interwencji, choć sam adres depozytowy nie pozwala ustalić, czy środki zostały sprzedane ani czy nadal są dostępne.

DCENT poinformowało, że współpracuje z koreańskimi organami ścigania, zewnętrznymi specjalistami ds. bezpieczeństwa, projektami blockchainowymi i giełdami, aby prześledzić przepływ środków i w miarę możliwości występować o ich zamrożenie.

Firma nie ogłosiła, że środki zostały zamrożone lub odzyskane. Poinformowała, że wszelkie takie działania zależą od organów ścigania, giełd i innych podmiotów zewnętrznych kontrolujących usługi, przez które przepływały środki.

DCENT apeluje do posiadaczy, by porzucili ujawnione frazy odzyskiwania

Kolejne fale wyprowadzania środków skłoniły DCENT do zaostrzenia ostrzeżenia 20 września. Firma zwróciła się do szerszej społeczności blockchain i krypto o pomoc w dotarciu do użytkowników App Wallet, którzy mogli nie zauważyć wcześniejszych komunikatów.

"Najważniejszym krokiem, by zapobiec dalszym szkodom, jest przeniesienie aktywów z aplikacji DCENT App Wallet" — poinformowała firma, apelując do użytkowników i społeczności krypto, by bezpośrednio przekazywali jej zalecenia wszystkim osobom, o których wiedzą, że korzystają z aplikacji.

DCENT zaleciło poszkodowanym użytkownikom zaktualizowanie aplikacji z oficjalnego sklepu z aplikacjami przed podjęciem dalszych działań oraz przeniesienie środków do portfela utworzonego przy użyciu całkowicie nowej frazy odzyskiwania.

Ten wymóg dotyczy również niektórych użytkowników portfeli sprzętowych.

DCENT poinformowało, że każda osoba, która wcześniej wpisała lub przywróciła frazę odzyskiwania portfela sprzętowego w aplikacji App Wallet, powinna zastosować tę samą procedurę migracji. Ponowne przeniesienie tej samej frazy na urządzenie sprzętowe nie tworzy nowych kluczy prywatnych, co oznacza, że wcześniejsze ujawnienie frazy dotyczy również nowego urządzenia.

Kryteria DCENT dotyczące potencjalnego wpływu incydentu obejmują także adresy, których frazę odzyskiwania wykorzystano w aplikacji App Wallet i z których podpisano transakcje przy użyciu wersji aplikacji starszej niż 8.1.0, wydanej 5 listopada 2025 roku. Użytkownicy, którzy później zaktualizowali oprogramowanie, nadal proszeni są o sprawdzenie, z której wersji korzystali podczas wcześniejszego podpisywania transakcji.

DCENT informuje, że użytkownicy portfeli sprzętowych, którzy nigdy nie wpisywali swojej frazy odzyskiwania w aplikacji App Wallet ani nie używali portfela programowego do podpisywania transakcji, nie muszą migrować środków zgodnie z obecnymi kryteriami firmy.

Firma ostrzegła również użytkowników przed drugą falą potencjalnych strat spowodowanych przez oszustów podszywających się pod innych w związku z incydentem. DCENT poinformowało, że nigdy nie poprosi o frazę odzyskiwania, klucz prywatny ani PIN i nie poda adresu portfela, na który użytkownicy mieliby przesłać aktywa w celu ich odzyskania lub uzyskania rekompensaty.

DCENT poinformowało 20 września, że nadal opracowuje procedurę ustalania skali skutków incydentu i statusu aktywów użytkowników, którzy już padli ofiarą nieautoryzowanych transferów.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.