XRP Healthcare сворачивает проект после уязвимости кошелька: раскрыто 4 000 аккаунтов, ущерб около $450 000

Платформа XRP Healthcare, работающая на базе XRP Ledger (XRPL), объявила о сворачивании деятельности после инцидента с XRPH Wallet: из-за ошибки в механике кошелька оказались скомпрометированы тысячи учетных записей, а потери оцениваются примерно в $450 000. 10 сентября команда сообщила, что взлом 3 сентября усилил финансовое и операционное давление на бизнес, который и без того испытывал нагрузку из-за затрат на разработку, затянувшегося медвежьего рынка криптовалют и неудачной попытки выхода на публичный рынок. На этом фоне проект готовится к делистингу своих токенов, включая XRPH и XRPHAI. Сроки вывода активов будут определять сами биржи. Приложения XRPH Wallet останутся недоступными. Компания при этом сохраняет права на интеллектуальную собственность и международный портфель товарных знаков. Закрытие последовало после массового вывода средств, который сервис XRPL.to отследил в виде 10 281 платежа от 4 011 кошельков-отправителей в период с 3 по 4 сентября. Аналитики классифицировали 4 010 кошельков как пострадавшие, установив, что один отправитель пополнял кошелек-сборщик. По данным отслеживания, на идентифицированный кошелек-сборщик были переведены около 267 664 XRP, 23,2 млн XRPH и 2,43 млн XRPHAI. Совокупная стоимость похищенного оценивается в диапазоне примерно $450 000–$452 000. Расследование разработчиков XRP Healthcare связало инцидент с тем, как XRPH Wallet генерировал учетные данные. В отчете говорится, что приложение передавало 55-символьное значение в xrpl.Wallet.fromEntropy(), где ожидались "сырые" байты. В результате фактически учитывались лишь первые 16 символов, что оставляло 14 вариативных цифр и сокращало пространство возможных значений примерно до 72,9 трлн комбинаций (около 2^46) вместо предусмотренных 2^128. Дополнительно выявлено использование Math.random(), что могло еще сильнее снизить практическую сложность подбора. Команда заявила, что смогла воспроизвести приватные ключи для девяти действующих кошельков, включая четыре подтвержденных опустошенных аккаунта, используя публичные данные и частичное сканирование сокращенного пространства ключей. В компании пришли к выводу, что дефект объясняет вывод средств 3 сентября без необходимости доступа к устройствам пользователей или протоколу XRP Ledger. Также отмечается, что простая импортировка той же seed-фразы в другое ПО не делает такой кошелек безопасным. Пострадавшим рекомендовано отказаться от учетных данных, созданных через XRPH Wallet, и перевести оставшиеся активы с использованием новых ключей. Несмотря на сворачивание операций, работы по восстановлению и расследованию продолжатся. XRP Healthcare сообщила, что похищенные активы были прослежены по всей цепочке до адреса в сети Ethereum, на котором находится около 445 198 DAI. Компания попросила пользователей направлять фактические отчеты на Etherscan, прикладывая сведения о транзакциях со своих опустошенных кошельков. Проект также намерен продолжать взаимодействие с биржами, платформами, регуляторами и другими участниками, сохраняя технические и транзакционные данные, связанные с инцидентом.