XRP Healthcare đóng cửa sau lỗi ví làm lộ 4.000 tài khoản, thiệt hại khoảng 450.000 USD

XRP Healthcare, nền tảng y tế xây dựng trên XRP Ledger (XRPL), thông báo sẽ chấm dứt hoạt động sau khi một lỗi trong ví khiến hàng nghìn tài khoản bị lộ và gây thiệt hại khoảng 450.000 USD. Ngày 10/9, dự án cho biết sự cố XRPH Wallet ngày 3/9 đã tạo thêm áp lực tài chính và vận hành cho doanh nghiệp vốn đã chịu gánh nặng chi phí phát triển, thị trường crypto suy giảm kéo dài và nỗ lực niêm yết đại chúng không thành công. Trước tình hình này, nền tảng cho biết đang chuẩn bị hủy niêm yết các token, gồm XRPH và XRPHAI; thời hạn rút dự kiến do từng sàn giao dịch ấn định. Ứng dụng XRPH Wallet sẽ tiếp tục ở trạng thái ngoại tuyến, trong khi công ty giữ lại tài sản sở hữu trí tuệ và danh mục nhãn hiệu toàn cầu. Quyết định đóng cửa được đưa ra sau một đợt "quét" quy mô lớn mà XRPL.to ghi nhận, bao gồm 10.281 giao dịch thanh toán từ 4.011 ví gửi trong giai đoạn 3/9–4/9. Dịch vụ phân tích đánh dấu 4.010 ví là nạn nhân, sau khi xác định chỉ có một ví gửi là bên cấp vốn cho tài khoản thu gom. Theo ước tính, khoảng 267.664 XRP, 23,2 triệu XRPH và 2,43 triệu XRPHAI đã được chuyển vào ví thu gom nói trên, đưa tổng giá trị tài sản bị đánh cắp vào khoảng 450.000–452.000 USD. Điều tra của đội ngũ phát triển XRP Healthcare xác định nguyên nhân đến từ cách XRPH Wallet tạo thông tin xác thực. Báo cáo nêu ứng dụng đã truyền một chuỗi 55 ký tự vào hàm xrpl.Wallet.fromEntropy(), trong khi hàm này kỳ vọng dữ liệu dạng byte thô. Kết quả, chỉ 16 ký tự đầu thực sự được giữ lại, để lại 14 chữ số biến thiên và làm thu hẹp không gian đầu vào xuống khoảng 72,9 nghìn tỷ tổ hợp (xấp xỉ 2^46), thấp hơn rất nhiều so với mức thiết kế 2^128. Nhóm cũng phát hiện ứng dụng sử dụng Math.random(), yếu tố có thể tiếp tục làm giảm không gian tìm kiếm trên thực tế. Nhóm cho biết họ đã tái tạo được khóa riêng của 9 ví đang hoạt động, trong đó có 4 ví đã bị rút sạch, bằng cách dùng thông tin công khai và quét một phần không gian khóa đã bị thu hẹp. Kết luận của báo cáo là lỗi này đủ để giải thích vụ rút tiền ngày 3/9 mà không cần truy cập thiết bị của người dùng hay can thiệp vào giao thức XRP Ledger. Điểm yếu cũng đồng nghĩa người dùng không thể "cứu" một ví đã bị lộ chỉ bằng cách nhập lại cùng seed trên phần mềm khác. XRP Healthcare khuyến nghị các nạn nhân ngừng sử dụng thông tin xác thực được tạo từ XRPH Wallet và chuyển mọi tài sản còn lại sang ví mới bằng khóa vừa tạo. Công ty cho biết các nỗ lực khắc phục sẽ vẫn được triển khai dù hoạt động đang thu hẹp. Về truy vết, XRP Healthcare nói tài sản bị đánh cắp đã được theo dõi từ đầu đến cuối đến một địa chỉ Ethereum đang nắm khoảng 445.198 DAI. Doanh nghiệp đề nghị người bị ảnh hưởng gửi báo cáo dựa trên dữ liệu thực tế trên Etherscan, kèm hồ sơ giao dịch từ các ví bị rút tiền. Công ty cũng cho biết sẽ tiếp tục phối hợp với các sàn, nền tảng, cơ quan chức năng và các bên liên quan, đồng thời lưu giữ hồ sơ kỹ thuật và dữ liệu giao dịch phục vụ điều tra.