Casi $20M en XRP fueron extraídos de 6,678 wallets en seis oleadas de ataques

Se sustrajeron casi $20M en XRP de miles de wallets de hardware en seis oleadas que se extendieron durante casi una semana.

La firma de análisis de blockchain XRPL.to rastreó 11,75M XRP que salieron de 6,678 wallets distintas entre el 15 y el 20 de septiembre, incluidas varias oleadas de recolección posteriores a que DCENT advirtiera a los usuarios sobre transferencias no autorizadas relacionadas con su App Wallet móvil.

Al precio actual de XRP, de aproximadamente $1,59, los tokens valen alrededor de $18,68M.

XRPL.to sitúa el primer vaciado identificado a las 15:35 UTC del 15 de septiembre. DCENT dijo que recibió el primer reporte de un cliente en Corea el 16 de septiembre y que ese día comenzó a notificar a los usuarios a través de su aplicación y sus canales oficiales. XRP sustraído de wallets D'CENT (Fuente:XRPL.to)

El vaciado se reanudó después.

Según XRPL.to, otra oleada de recolección comenzó a las 07:05 UTC del 17 de septiembre, mientras que el último vaciado registrado en su investigación ocurrió a las 20:56 UTC del 20 de septiembre.

El investigador contabilizó 4,208 wallets vaciadas mediante transacciones de pago y otras 2,470 vaciadas mediante la eliminación de cuentas sin un pago previo en los datos rastreados. También identificó 5,001 transacciones AccountDelete originadas en 4,950 wallets, incluidas cuentas que ya habían sido vaciadas parcialmente.

La eliminación de cuentas permitió a quien controlaba las claves extraer saldos que podrían haber quedado tras los vaciados mediante pagos ordinarios. Las cuentas de XRP Ledger (XRPL) mantienen una reserva mientras permanecen abiertas, pero una transacción AccountDelete puede cerrar una cuenta elegible y enviar los XRP restantes a otra dirección, descontando la comisión de eliminación.

Una de esas eliminaciones transfirió 107,507 XRP, que valen aproximadamente $171.000 a los precios actuales.

XRPL.to dijo que las transacciones de pago y eliminación fueron firmadas válidamente con las claves de las cuentas afectadas. El rastro en blockchain no revela cómo se obtuvieron esas claves, y DCENT aún no ha dado a conocer la causa técnica del incidente.

Más de 5,6M XRP se movieron a través de THORChain

Gran parte de los XRP robados ya había comenzado a salir de XRP Ledger cuando los investigadores mapearon los flujos.

XRPL.to rastreó 5,67M XRP a través de THORChain hasta las 11:26 UTC del 21 de septiembre, incluidos alrededor de 5,59M XRP enviados desde dos oleadas de recolección mediante transacciones cuyos memos especificaban direcciones de destino de Ethereum.

Otros 3,24M XRP fluyeron a unionchain.ai, que XRPL.to describió como un exchange de criptomonedas, mientras que alrededor de 546,080 XRP llegaron a NEAR Intents y 535,666 XRP se transfirieron a etiquetas de depósito de Binance.

En la captura del investigador, alrededor de 1,31M XRP seguían en wallets vinculadas a la operación.

Los destinos complican los intentos de recuperar los activos. THORChain y NEAR Intents pueden transferir valor entre redes, lo que crea rastros adicionales que los investigadores deben seguir una vez que los XRP se intercambian por activos en otra blockchain.

Mientras tanto, las transferencias a direcciones vinculadas a exchanges de criptomonedas podrían ofrecer posibles puntos de intervención, aunque una dirección de depósito por sí sola no permite determinar si los fondos se vendieron o siguen siendo accesibles.

DCENT dijo que ha estado trabajando con las fuerzas del orden de Corea, especialistas de seguridad externos, proyectos de blockchain y exchanges de criptomonedas para rastrear el dinero y solicitar congelamientos cuando sea posible.

La compañía no ha anunciado ningún congelamiento ni recuperación completados. Ha dicho que cualquier acción de ese tipo depende de las fuerzas del orden, los exchanges de criptomonedas y otros terceros que controlan los servicios por los que circularon los fondos.

DCENT insta a los usuarios a abandonar las frases de recuperación expuestas

Los vaciados continuos llevaron a DCENT a intensificar su advertencia el 20 de septiembre y pedir ayuda a la comunidad general de blockchain y criptomonedas para llegar a usuarios de App Wallet que quizá no hubieran visto sus avisos anteriores.

"El paso más importante para evitar más daños es sacar los activos de DCENT App Wallet", dijo la compañía, e instó a los usuarios y a las comunidades cripto a compartir sus instrucciones directamente con cualquier persona que sepan que usa la aplicación.

DCENT indicó a los usuarios afectados que actualizaran la aplicación desde una tienda oficial de aplicaciones antes de tomar otras medidas y que transfirieran sus fondos a una wallet creada con una frase de recuperación completamente nueva.

Ese requisito también se aplica a algunos usuarios de wallets de hardware.

DCENT dijo que cualquier persona que haya ingresado o restaurado anteriormente la frase de recuperación de una wallet de hardware dentro de su App Wallet debe seguir el mismo procedimiento de migración. Volver a introducir la misma frase en un dispositivo de hardware no genera nuevas claves privadas, por lo que cualquier exposición previa sigue vinculada a la frase en el nuevo dispositivo.

Los criterios de posible impacto de la compañía también incluyen direcciones cuya frase de recuperación se usó en App Wallet y que firmaron transacciones con una versión de la aplicación anterior a la 8.1.0, publicada el 5 de noviembre de 2025. También se pide a los usuarios que actualizaron el software después que consideren qué versión tenían instalada cuando firmaron transacciones anteriormente.

DCENT afirma que, según sus criterios actuales, los usuarios de hardware que nunca ingresaron su frase de recuperación en App Wallet ni usaron la wallet de software para firmar transacciones no necesitan migrar.

La compañía también ha advertido a los usuarios sobre una segunda oleada de posibles pérdidas causada por suplantadores que se aprovechan del incidente. DCENT dijo que nunca pedirá una frase de recuperación, una clave privada o un PIN, y que no proporcionará una dirección de wallet a la que los usuarios deban enviar activos para recuperarlos o recibir una compensación.

Para los usuarios que ya sufrieron transferencias no autorizadas, DCENT dijo el 20 de septiembre que aún estaba desarrollando un proceso para determinar el alcance del impacto y el estado de los activos afectados.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.