Майже 20 млн $ XRP виведено з 6,678 гаманців упродовж шести хвиль атак

Майже 20 млн $ XRP було виведено з тисяч апаратних гаманців у шість хвиль, що тривали майже тиждень.

Аналітична блокчейн-компанія XRPL.to відстежила виведення 11,75млн XRP із 6,678 окремих гаманців у період із 15 до 20 вересня, зокрема кілька хвиль збору коштів після того, як DCENT попередила користувачів про несанкціоновані перекази з її мобільного App Wallet.

За поточної ціни XRP близько 1,59 $ вартість цих токенів становить приблизно 18,68 млн $.

За даними XRPL.to, перше виявлене спустошення гаманців відбулося о 15:35 UTC 15 вересня. DCENT повідомила, що 16 вересня отримала перше звернення клієнта з Кореї та того ж дня почала сповіщати користувачів через застосунок і офіційні канали. XRP виведено з гаманців D'CENT (Джерело: XRPL.to)

Згодом виведення коштів відновилося.

За даними XRPL.to, ще одна хвиля збору коштів почалася о 07:05 UTC 17 вересня, а останнє зафіксоване в розслідуванні спустошення гаманців відбулося о 20:56 UTC 20 вересня.

Дослідники нарахували 4,208 гаманців, спустошених за допомогою платіжних транзакцій, і ще 2,470 гаманців, кошти з яких було виведено через видалення облікового запису без попереднього платежу в даних, які вони відстежували. Також було виявлено 5,001 транзакцію AccountDelete, що походила з 4,950 гаманців, зокрема з рахунків, які вже були частково спустошені.

Видалення облікового запису дало змогу тому, хто контролював ключі, вивести залишки, які могли лишитися після звичайних платіжних транзакцій. Рахунки XRP Ledger (XRPL) мають підтримувати резерв, поки залишаються відкритими, але транзакція AccountDelete може закрити відповідний рахунок і переказати залишок XRP, за вирахуванням комісії за видалення, на іншу адресу.

Одна така транзакція видалення переказала 107,507 XRP вартістю близько 171 000 $ за поточними цінами.

XRPL.to повідомила, що платіжні транзакції та транзакції видалення були належним чином підписані ключами постраждалих облікових записів. Блокчейн-слід не показує, як було отримано ці ключі, а DCENT ще не розкрила технічну причину інциденту.

Понад 5,6млн XRP пройшло через THORChain

На момент, коли дослідники відстежили рух коштів, значна частина викрадених XRP уже почала залишати XRP Ledger.

Станом на 11:26 UTC 21 вересня XRPL.to відстежила 5,67млн XRP через THORChain, зокрема близько 5,59млн XRP із двох хвиль збору коштів, переказаних у транзакціях, примітки до яких містили адреси призначення в мережі Ефіріум.

Ще 3,24млн XRP надійшло до unionchain.ai, яку XRPL.to описала як криптобіржу, тоді як близько 546,080 XRP потрапило до NEAR Intents, а 535,666 XRP було переказано на депозитні мітки Binance.

За даними дослідника на момент знімка, близько 1,31млн XRP залишалося в гаманцях, пов’язаних з операцією.

Такі пункти призначення ускладнюють спроби повернути активи. THORChain і NEAR Intents дають змогу переміщувати кошти між мережами, створюючи додаткові сліди, які слідчим потрібно відстежувати після обміну XRP на активи в іншому блокчейні.

Водночас перекази на адреси, пов’язані з криптобіржами, можуть стати потенційними точками втручання, хоча сама наявність адреси для депозиту не доводить, що кошти було продано або що до них досі є доступ.

DCENT повідомила, що співпрацює з правоохоронними органами Кореї, незалежними фахівцями з безпеки, блокчейн-проєктами та криптобіржами, щоб відстежити кошти й за можливості попросити про їх заморожування.

Компанія не оголошувала про завершене заморожування коштів або їх повернення. Вона заявила, що будь-які такі дії залежать від правоохоронних органів, криптобірж та інших третіх сторін, які контролюють сервіси, через які проходили кошти.

DCENT закликає власників відмовитися від скомпрометованих фраз відновлення

Триваюче спустошення гаманців спонукало DCENT посилити попередження 20 вересня та попросити ширшу блокчейн- і криптоспільноту допомогти зв’язатися з користувачами App Wallet, які могли не побачити попередніх повідомлень.

"Найважливіший крок для запобігання подальшій шкоді — вивести активи з DCENT App Wallet", — заявила компанія, закликавши користувачів і криптоспільноти безпосередньо передавати її рекомендації всім, хто, як їм відомо, користується застосунком.

DCENT порадила постраждалим користувачам перед подальшими діями оновити застосунок з офіційного магазину застосунків і переказати свої активи на гаманець, створений із цілком новою фразою відновлення.

Ця вимога поширюється також на деяких користувачів апаратних гаманців.

DCENT повідомила, що всі, хто раніше вводив фразу відновлення апаратного гаманця або відновлював його за допомогою цієї фрази в App Wallet, мають дотримуватися тієї самої процедури перенесення. Повернення тієї самої фрази на апаратний пристрій не створює нових приватних ключів, а отже, будь-який попередній витік цієї фрази поширюється і на новий пристрій.

Критерії потенційного впливу, визначені компанією, також охоплюють адреси, фразу відновлення яких використовували в App Wallet і з яких підписували транзакції у версії застосунку раніше за 8.1.0, випущену 5 листопада 2025 року. Користувачам, які згодом оновили програмне забезпечення, все одно радять з’ясувати, яка версія була встановлена, коли вони раніше підписували транзакції.

DCENT зазначає, що користувачам апаратних гаманців, які ніколи не вводили фразу відновлення в App Wallet і не підписували транзакції за допомогою програмного гаманця, відповідно до чинних критеріїв не потрібно переносити кошти.

Компанія також попередила користувачів про другу хвилю потенційних втрат через шахраїв, які видають себе за інших і використовують інцидент у своїх цілях. DCENT заявила, що ніколи не проситиме фразу відновлення, приватний ключ або PIN-код і не надаватиме адресу гаманця, на яку користувачі мають надсилати активи для їх повернення чи компенсації.

Користувачам, які вже постраждали від несанкціонованих переказів, DCENT повідомила 20 вересня, що все ще розробляє процедуру визначення масштабу впливу та статусу постраждалих активів.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.