XRP Healthcare เตรียมยุติกิจการ หลังช่องโหว่กระเป๋าเงินทำข้อมูลรั่วกว่า 4,000 บัญชี สูญเงินราว 450,000 ดอลลาร์

XRP Healthcare แพลตฟอร์มด้านเฮลท์แคร์บนเครือข่าย XRP Ledger (XRPL) เตรียมยุติการดำเนินงาน หลังเหตุช่องโหว่ในกระเป๋าเงิน XRPH Wallet ทำให้มีการเปิดเผยข้อมูลบัญชีผู้ใช้จำนวนมากและเกิดความเสียหายคิดเป็นมูลค่าประมาณ 450,000 ดอลลาร์ เมื่อวันที่ 10 ก.ย. โครงการระบุว่าเหตุการณ์ XRPH Wallet เมื่อวันที่ 3 ก.ย. เพิ่มแรงกดดันทั้งด้านการเงินและการดำเนินงานให้กับธุรกิจที่เผชิญต้นทุนพัฒนาสูง ตลาดคริปโตขาลงยาวนาน และความพยายามเข้าจดทะเบียนในตลาด (public listing) ที่ไม่ประสบผลสำเร็จ จากปัจจัยดังกล่าว แพลตฟอร์มเตรียมถอดโทเคนออกจากตลาดซื้อขาย รวมถึง XRPH และ XRPHAI โดยแต่ละเอ็กซ์เชนจ์จะเป็นผู้กำหนดเส้นตายการถอนสินทรัพย์เอง แอปพลิเคชัน XRPH Wallet จะยังคงออฟไลน์ ขณะที่บริษัทจะคงไว้ซึ่งทรัพย์สินทางปัญญาและพอร์ตโฟลิโอเครื่องหมายการค้าระดับโลก การปิดตัวครั้งนี้เกิดขึ้นหลังมีการโอนย้ายสินทรัพย์ครั้งใหญ่ ซึ่ง XRPL.to ติดตามพบธุรกรรม 10,281 รายการ จากกระเป๋าผู้ส่ง 4,011 ใบ ระหว่างวันที่ 3-4 ก.ย. โดยบริการวิเคราะห์จัดให้กระเป๋า 4,010 ใบเป็นเหยื่อ หลังประเมินว่ามีผู้ส่งรายเดียวเป็นผู้เติมเงินให้กับ "collector account" สินทรัพย์ที่ถูกย้ายเข้าไปยังบัญชีดังกล่าวประกอบด้วยราว 267,664 XRP, 23.2 ล้าน XRPH และ 2.43 ล้าน XRPHAI คิดเป็นมูลค่าทรัพย์สินที่ถูกขโมยราว 450,000-452,000 ดอลลาร์ รายงานการสอบสวนของทีมพัฒนาระบุว่า จุดรั่วไหลมาจากวิธีที่ XRPH Wallet สร้างข้อมูลรับรอง (credentials) โดยแอปส่งค่าข้อความยาว 55 อักขระเข้าไปในฟังก์ชัน xrpl.Wallet.fromEntropy() ซึ่งควรรับเป็น raw bytes ผลคือระบบนำไปใช้ได้จริงเพียง 16 อักขระแรก ทำให้เหลือเพียง 14 หลักที่เปลี่ยนแปลงได้ และลดขนาดพื้นที่ความเป็นไปได้ของอินพุตเหลือประมาณ 72.9 ล้านล้านชุด หรือราว 2^46 จากเดิมที่ตั้งใจไว้ระดับ 2^128 ทีมงานยังพบการใช้ Math.random() ซึ่งอาจทำให้พื้นที่ค้นหาใช้งานจริงลดลงไปอีก โดยระบุว่าสามารถจำลอง private key ของกระเป๋าที่ใช้งานอยู่ 9 ใบ รวมถึง 4 ใบที่ยืนยันแล้วว่าถูกดูดเงิน โดยอาศัยข้อมูลสาธารณะและการสแกนเพียงบางส่วนของ keyspace ที่ถูกลดทอนลง สรุปได้ว่าข้อบกพร่องนี้เพียงพอที่จะอธิบายการดูดเงินเมื่อวันที่ 3 ก.ย. โดยไม่จำเป็นต้องเข้าถึงอุปกรณ์ผู้ใช้หรือโปรโตคอลของ XRP Ledger รายงานเตือนด้วยว่า ผู้ใช้ไม่สามารถทำให้กระเป๋าที่ถูกเปิดเผยปลอดภัยได้เพียงแค่นำ seed เดิมไปนำเข้าในซอฟต์แวร์อื่น บริษัทแนะนำให้ผู้ที่ได้รับผลกระทบเลิกใช้ข้อมูลรับรองที่สร้างผ่าน XRPH Wallet และย้ายสินทรัพย์ที่เหลือไปยังกุญแจชุดใหม่ที่สร้างขึ้นใหม่ แม้อยู่ระหว่างการยุติการดำเนินงาน บริษัทยืนยันว่าจะเดินหน้าความพยายามด้านการกู้คืนต่อไป โดยระบุว่าสามารถติดตามเส้นทางสินทรัพย์ที่ถูกขโมยได้แบบ end-to-end ไปยังที่อยู่บน Ethereum ซึ่งถือครองประมาณ 445,198 DAI และขอให้ผู้เสียหายส่งรายงานข้อเท็จจริงบน Etherscan โดยอ้างอิงบันทึกธุรกรรมจากกระเป๋าที่ถูกดูดเงิน XRP Healthcare ระบุว่าจะทำงานร่วมกับเอ็กซ์เชนจ์ แพลตฟอร์ม หน่วยงานรัฐ และผู้เกี่ยวข้องอื่น ๆ ต่อไป พร้อมเก็บรักษาบันทึกทางเทคนิคและข้อมูลธุรกรรมที่เชื่อมโยงกับเหตุการณ์นี้