XRP Healthcare 因錢包漏洞外洩逾4,000帳戶、損失約45萬美元 宣布結束營運

建立於 XRP Ledger（XRPL）之上的醫療平台 XRP Healthcare 宣布逐步結束營運。公司表示，9月3日發生的「XRPH Wallet」事故導致數千個帳戶資料外洩，並造成約45萬美元損失，令本已受開發成本上升、加密貨幣熊市持續及上市計劃未果等因素困擾的業務，面臨更大財務與營運壓力。 XRP Healthcare 於9月10日表示，正準備將旗下代幣（包括 XRPH 及 XRPHAI）從市場下架，各交易所將自行訂定提幣截止時間。在此期間，XRPH Wallet 應用程式將維持離線；公司則會保留其知識產權及全球商標組合。 鏈上追蹤服務 XRPL.to 指出，9月3日至9月4日期間出現大規模資金歸集行為，涉及 10,281 筆付款、4,011 個發送錢包。該服務判定其中 4,010 個錢包為受害者，並指向同一個發送方為歸集地址提供資金。被轉入歸集地址的資產包括約 267,664 枚 XRP、2,320 萬枚 XRPH，以及 243 萬枚 XRPHAI，按估算被盜總值約 45 萬至 45.2 萬美元。 就技術原因而言，XRP Healthcare 開發團隊的調查把入侵源頭指向 XRPH Wallet 產生憑證的方式。報告稱，應用程式把一個 55 個字元的值傳入 xrpl.Wallet.fromEntropy()，而該函式實際上需要的是原始位元組；結果只有首 16 個字元有效保留，令可變數字只剩 14 位，把原本應達 2^128 的輸入空間大幅壓縮至約 729,000 億種組合（約 2^46）。團隊亦發現程式使用 Math.random()，可能令可行搜尋空間進一步縮小。 團隊表示，已透過公開資訊並就縮小後的 keyspace 作部分掃描，成功重建 9 個仍在使用的錢包私鑰，其中包括 4 個已被確認遭清空的帳戶。結論指，這個缺陷足以解釋 9月3日的資金被盜事件，無需存取用戶裝置或 XRPL 協定本身。漏洞亦意味著，即使用戶把相同 seed 匯入其他軟件，亦無法令已外洩的錢包變得安全。 公司建議受影響用戶棄用透過 XRPH Wallet 產生的憑證，並以新建立的金鑰把尚餘資產轉走。儘管公司正逐步停運，追討與復原工作仍會繼續。 XRP Healthcare 另稱，被盜資產已被端到端追蹤至一個以太坊地址，該地址持有約 445,198 枚 DAI。公司要求受影響用戶使用被盜錢包的交易紀錄，在 Etherscan 提交基於事實的報告。公司亦表示，將繼續與交易所、平台、執法與監管機構及其他相關方合作，同時保存與事件相關的技術與交易紀錄。 （相關閱讀）XRP Ledger 開發套件疑遭植入後門，用以竊取錢包私鑰。