XRP Healthcare kończy działalność po luce w portfelu: ujawniono 4 tys. kont, straty ok. 450 tys. USD

XRP Healthcare, platforma z obszaru ochrony zdrowia zbudowana na XRP Ledger (XRPL), rozpoczyna wygaszanie działalności po wykryciu luki w aplikacji portfelowej, która miała doprowadzić do ujawnienia tysięcy kont i strat rzędu 450 tys. USD. W komunikacie z 10 września projekt podał, że incydent związany z XRPH Wallet z 3 września dołożył presji finansowej i operacyjnej firmie już obciążonej kosztami rozwoju, przedłużającą się bessą na rynku krypto oraz nieudaną próbą wejścia na giełdę. Spółka zapowiedziała przygotowania do wycofania tokenów z obrotu, w tym XRPH i XRPHAI; poszczególne giełdy mają samodzielnie określić terminy graniczne wypłat. Aplikacje XRPH Wallet pozostaną offline, a firma zachowa własność intelektualną oraz globalne portfolio znaków towarowych. Decyzja o zamknięciu następuje po masowym "sweepie", który według XRPL.to obejmował 10 281 płatności pochodzących z 4 011 portfeli nadawców między 3 a 4 września. Serwis analityczny zaklasyfikował 4 010 portfeli jako ofiary, ustalając, że jeden nadawca zasilił konto zbierające. Na zidentyfikowany adres "collector" trafiło ok. 267 664 XRP, 23,2 mln XRPH oraz 2,43 mln XRPHAI, co wyceniono na ok. 450 tys. do 452 tys. USD. Z ustaleń zespołu deweloperskiego wynika, że źródłem włamania był sposób generowania poświadczeń przez XRPH Wallet. Raport wskazuje, że aplikacja przekazywała 55-znakową wartość do xrpl.Wallet.fromEntropy(), które oczekiwało surowych bajtów. W praktyce wykorzystywano jedynie pierwsze 16 znaków, co pozostawiło 14 zmiennych cyfr i ograniczyło przestrzeń możliwych kombinacji do ok. 72,9 bln (około 2^46) zamiast zakładanych 2^128. Deweloperzy zwrócili też uwagę na użycie Math.random(), co mogło jeszcze bardziej zmniejszyć realną przestrzeń przeszukiwania. Zespół poinformował, że odtworzył klucze prywatne dla dziewięciu aktywnych portfeli, w tym czterech potwierdzonych kont, z których środki zostały wyprowadzone, wykorzystując informacje publiczne oraz częściowy skan zredukowanej przestrzeni kluczy. W ocenie projektu wada tłumaczy odpływ środków z 3 września bez konieczności uzyskiwania dostępu do urządzeń użytkowników lub do protokołu XRP Ledger. Podkreślono też, że nie da się zabezpieczyć ujawnionego portfela wyłącznie przez import tego samego seeda do innego oprogramowania. XRP Healthcare zalecił poszkodowanym porzucenie poświadczeń wygenerowanych przez XRPH Wallet i przeniesienie pozostałych aktywów przy użyciu nowo utworzonych kluczy. Działania odzyskowe mają być kontynuowane mimo wygaszania operacji. Spółka przekazała, że skradzione aktywa prześledzono end-to-end do adresu w sieci Ethereum, który ma przechowywać ok. 445 198 DAI. Firma poprosiła użytkowników o składanie rzeczowych zgłoszeń na Etherscan, opartych na zapisach transakcji z portfeli, z których dokonano wypłat. Projekt deklaruje dalszą współpracę z giełdami, platformami, organami ścigania i innymi stronami oraz zachowanie dokumentacji technicznej i danych transakcyjnych związanych z incydentem. Powiązane: skompromitowano zestaw narzędzi deweloperskich XRP Ledger, dodając backdoor do kradzieży kluczy prywatnych portfeli.