Casi 20 M $ en XRP sustraídos de 6.678 wallets en seis oleadas de ataque

Casi 20 M $ en XRP fueron sustraídos de miles de wallets de hardware en seis oleadas que se prolongaron durante casi una semana.

La firma de análisis de blockchain XRPL.to rastreó la salida de 11,75M XRP de 6.678 wallets distintas entre el 15 y el 20 de septiembre, incluidas varias oleadas de vaciado después de que DCENT advirtiera a los usuarios de transferencias no autorizadas relacionadas con su App Wallet para móviles.

Al precio actual de XRP, de aproximadamente 1,59 $, los tokens tienen un valor aproximado de 18,68 M $.

XRPL.to sitúa el primer vaciado identificado a las 15:35 UTC del 15 de septiembre. DCENT dijo que recibió el primer aviso de un cliente en Corea el 16 de septiembre y que ese mismo día comenzó a notificar a los usuarios a través de su aplicación y de sus canales oficiales. XRP sustraído de wallets D'CENT (Fuente: XRPL.to)

El vaciado se reanudó después.

Según XRPL.to, otra oleada de vaciado comenzó a las 07:05 UTC del 17 de septiembre, mientras que el último barrido registrado en su investigación se produjo a las 20:56 UTC del 20 de septiembre.

El investigador contabilizó 4.208 wallets vaciadas mediante transacciones de pago y otras 2.470 vaciadas mediante la eliminación de la cuenta sin un pago previo en los datos que rastreó. También identificó 5.001 transacciones AccountDelete procedentes de 4.950 wallets, incluidas cuentas que ya habían sido vaciadas parcialmente.

La eliminación de la cuenta permitió a quien controlaba las claves retirar los saldos que los barridos ordinarios mediante pagos podrían dejar atrás. Las cuentas de XRP Ledger (XRPL) mantienen una reserva mientras permanecen abiertas, pero una transacción AccountDelete puede cerrar una cuenta que cumpla los requisitos y transferir el XRP restante, menos la tarifa de eliminación, a otra dirección.

Una de esas eliminaciones transfirió 107.507 XRP, con un valor aproximado de 171.000 $ a los precios actuales.

XRPL.to afirmó que las transacciones de pago y de eliminación estaban firmadas válidamente con las claves de las cuentas afectadas. El rastro en la blockchain no revela cómo se obtuvieron esas claves, y DCENT aún no ha hecho pública la causa técnica del incidente.

Más de 5,6M XRP se movieron a través de THORChain

Cuando los investigadores trazaron los flujos, gran parte de los XRP robados ya había empezado a salir de XRP Ledger.

XRPL.to rastreó 5,67M XRP a través de THORChain hasta las 11:26 UTC del 21 de septiembre, incluidos unos 5,59M XRP enviados desde dos oleadas de vaciado mediante transacciones cuyos memos especificaban direcciones de destino de Ethereum.

Otros 3,24M XRP se transfirieron a unionchain.ai, que XRPL.to describió como un exchange de criptomonedas, mientras que unos 546.080 XRP llegaron a NEAR Intents y 535.666 XRP se transfirieron a etiquetas de depósito de Binance.

En la instantánea del investigador, alrededor de 1,31M XRP seguían en wallets vinculadas a la operación.

Los destinos complican los intentos de recuperar los activos. THORChain y NEAR Intents pueden transferir valor entre redes, lo que crea nuevos rastros que los investigadores deben seguir una vez que los XRP se han intercambiado por activos en otra blockchain.

Por su parte, las transferencias a direcciones vinculadas a exchanges de criptomonedas podrían ofrecer posibles puntos de intervención, aunque una dirección de depósito por sí sola no permite determinar si los fondos se vendieron o siguen siendo accesibles.

DCENT dijo que está colaborando con las fuerzas del orden de Corea, especialistas externos en seguridad, proyectos de blockchain y exchanges de criptomonedas para rastrear el dinero y solicitar bloqueos cuando sea posible.

La empresa no ha anunciado ningún bloqueo ni recuperación completados. Ha afirmado que cualquier medida de ese tipo depende de las fuerzas del orden, los exchanges y otros terceros que controlan los servicios por los que se transfirieron los fondos.

DCENT insta a los usuarios a abandonar las frases de recuperación expuestas

Los barridos continuados llevaron a DCENT a intensificar su advertencia el 20 de septiembre y a pedir a la comunidad general de blockchain y criptomonedas que ayudara a llegar a los usuarios de App Wallet que quizá no hubieran visto sus avisos anteriores.

"El paso más importante para evitar más daños es mover los activos fuera de DCENT App Wallet", dijo la empresa, e instó a los usuarios y a las comunidades cripto a compartir directamente sus indicaciones con cualquier persona que supieran que utilizaba la aplicación.

DCENT pidió a los usuarios afectados que actualizaran la aplicación desde una tienda oficial antes de tomar otras medidas y que transfirieran sus fondos a una wallet creada con una frase de recuperación completamente nueva.

Este requisito también se aplica a algunos usuarios de wallets de hardware.

DCENT dijo que cualquier persona que hubiera introducido o restaurado previamente la frase de recuperación de una wallet de hardware en su App Wallet debía seguir el mismo procedimiento de migración. Volver a introducir la misma frase en un dispositivo de hardware no genera nuevas claves privadas, lo que significa que cualquier exposición previa también afecta al nuevo dispositivo.

Los criterios de posible impacto de la empresa también incluyen direcciones cuya frase de recuperación se usó en App Wallet y que firmaron transacciones con una versión de la aplicación anterior a la 8.1.0, publicada el 5 de noviembre de 2025. También se pide a los usuarios que actualizaron el software posteriormente que tengan en cuenta qué versión estaba instalada cuando firmaron transacciones anteriores.

DCENT afirma que los usuarios de wallets de hardware que nunca introdujeron su frase de recuperación en App Wallet y nunca utilizaron la wallet de software para firmar transacciones no necesitan migrar según los criterios actuales de la empresa.

La empresa también ha advertido a los usuarios sobre una segunda oleada de posibles pérdidas provocada por impostores que se aprovechan del incidente. DCENT afirmó que nunca pedirá una frase de recuperación, una clave privada o un PIN, ni proporcionará una dirección de wallet a la que los usuarios deban enviar activos para recuperarlos o recibir una compensación.

Para los usuarios que ya han sufrido transferencias no autorizadas, DCENT dijo el 20 de septiembre que todavía estaba desarrollando un proceso para determinar el alcance del impacto y el estado de los activos afectados.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.