XRP Healthcare met la clé sous la porte après une faille de portefeuille : 4 000 comptes exposés et 450 000 $ dérobés

XRP Healthcare, une plateforme de santé construite sur le XRP Ledger (XRPL), va cesser ses activités après qu'une faille dans son portefeuille a exposé des milliers de comptes et provoqué des pertes estimées à environ 450 000 $. Dans un communiqué daté du 10 septembre, le projet explique que l'incident du 3 septembre lié à l'application XRPH Wallet a ajouté une pression financière et opérationnelle à une activité déjà fragilisée par les coûts de développement, un marché crypto baissier prolongé et une tentative de cotation publique infructueuse. Dans ce contexte, la société indique se préparer à retirer de la cote ses jetons, dont XRPH et XRPHAI. Chaque plateforme d'échange devrait fixer ses propres dates limites de retrait. Les applications XRPH Wallet resteront hors ligne, tandis que l'entreprise conservera sa propriété intellectuelle ainsi que son portefeuille mondial de marques. Cette fermeture intervient après un balayage massif identifié par XRPL.to, qui a retracé 10 281 paiements provenant de 4 011 portefeuilles émetteurs entre le 3 et le 4 septembre. Le service d'analyse a classé 4 010 de ces portefeuilles comme victimes après avoir établi qu'un seul émetteur avait alimenté le compte collecteur. Au total, environ 267 664 XRP, 23,2 millions de XRPH et 2,43 millions de XRPHAI auraient été transférés vers ce compte collecteur, pour une valeur estimée entre 450 000 $ et 452 000 $. Selon l'enquête interne des développeurs, la compromission provient de la manière dont XRPH Wallet générait les identifiants. Le rapport indique que l'application transmettait une chaîne de 55 caractères à xrpl.Wallet.fromEntropy(), une fonction censée recevoir des octets bruts. Seuls les 16 premiers caractères étaient effectivement conservés, ne laissant que 14 chiffres variables et réduisant l'espace de recherche à environ 72,9 billions de combinaisons (environ 2^46), loin des 2^128 attendus. Les développeurs pointent aussi l'usage de Math.random(), susceptible de réduire encore l'espace de recherche exploitable. L'équipe affirme avoir réussi à reproduire les clés privées de neuf portefeuilles actifs, dont quatre comptes confirmés comme vidés, en s'appuyant sur des informations publiques et un balayage partiel de l'espace de clés réduit. Elle estime que ce défaut suffit à expliquer le siphonnage du 3 septembre sans accès aux appareils des utilisateurs ni au protocole du XRP Ledger. La faille implique également qu'un portefeuille exposé ne peut pas être sécurisé en important la même seed dans un autre logiciel. XRP Healthcare recommande aux utilisateurs concernés d'abandonner les identifiants générés via XRPH Wallet et de transférer les éventuels fonds restants en utilisant de nouvelles clés. Les démarches de récupération se poursuivront malgré l'arrêt opérationnel. L'entreprise dit avoir tracé les actifs volés de bout en bout jusqu'à une adresse Ethereum détenant environ 445 198 DAI. Elle demande aux victimes de déposer des signalements factuels sur Etherscan, en s'appuyant sur les historiques de transaction de leurs portefeuilles vidés. XRP Healthcare affirme poursuivre sa coopération avec les plateformes d'échange, les services concernés, les autorités et d'autres parties, tout en préservant les enregistrements techniques et les données de transaction liés à l'incident. Lecture associée : le kit de développement XRP Ledger compromis via une porte dérobée visant à dérober les clés privées des portefeuilles.