XRP Healthcare、ウォレット不具合で約4,000口座が露出し約45万ドル流出—事業終了へ

XRP Ledger（XRPL）上で展開してきたヘルスケア系プラットフォーム「XRP Healthcare」は、ウォレットの欠陥により多数のアカウント情報が露出し、約45万ドル規模の損失が発生したことを受け、事業を段階的に終了すると明らかにした。 同社は9月10日、9月3日に発生した「XRPH Wallet」インシデントが、開発コストの増大、長引く暗号資産の弱気相場、上場（公開株式上場）に向けた取り組みの不調で既に重くなっていた財務・運営面の負担をさらに押し上げたと説明した。これに伴い、XRPHおよびXRPHAIを含む同社トークンの上場廃止（デリスト）準備に入る方針で、出金期限は各取引所が設定する見通しとしている。XRPH Walletのアプリは当面オフラインのままとしつつ、知的財産およびグローバル商標ポートフォリオは保持する。 今回の停止判断に先立ち、XRPL.toは9月3日から9月4日にかけて、4,011の送信元ウォレットから10,281件の支払いが一斉に実行された動きを追跡した。分析の結果、1つの送信者が回収用アカウントに資金を供給していたことが確認され、4,010のウォレットが被害者に分類されたという。 回収用アカウントへは、約267,664 XRP、2,320万XRPH、243万XRPHAIが移動しており、盗難資産の評価額はおよそ45万〜45.2万ドルと見積もられている。 同社の開発チームによる調査では、侵害はXRPH Walletの認証情報生成方法に起因すると結論づけた。報告によると、アプリは55文字の値をxrpl.Wallet.fromEntropy()に渡していたが、同関数は生バイト列を想定しており、実質的に先頭16文字しか利用されなかった。その結果、可変部分は14桁に縮小し、入力空間は本来の2^128から約72.9兆通り（約2^46）へ大幅に低下した。さらにMath.random()の使用も確認され、実際に探索すべき範囲を一段と狭めた可能性があるとしている。 チームは、公開情報と縮小した鍵空間の部分スキャンを用いて、稼働中の9つのウォレットの秘密鍵を再現できたとし、その中には実際に資金が抜かれたことが確認された4口座も含まれるという。これにより、ユーザーデバイスやXRPLプロトコルへのアクセスがなくても、9月3日の流出を説明できると結論づけた。欠陥の性質上、同一シードを別ソフトにインポートしても露出済みウォレットを安全化できない点も指摘した。 XRP Healthcareは、XRPH Walletで生成された認証情報の使用を中止し、新たに作成した鍵で残存資産を移動するよう被害者に推奨している。事業縮小の方針を示す一方、資産回収の取り組みは継続するとした。 同社はまた、盗難資産がエンドツーエンドで追跡され、約445,198 DAIを保有するイーサリアムのアドレスに行き着いたと説明。被害者に対し、流出ウォレットの取引記録を基に、Etherscan上で事実関係に基づくレポートを提出するよう求めている。加えて、取引所、プラットフォーム、当局など関係各所と連携しつつ、インシデントに関連する技術・取引記録を保全していくとしている。 関連：XRP Ledgerの開発者キットがバックドアにより侵害され、ウォレット秘密鍵の窃取に悪用された事例