XRP Healthcare закриває проєкт через вразливість XRPH Wallet

XRP Healthcare оголосила про повне згортання діяльності після інциденту з гаманцем XRPH Wallet, унаслідок якого з 4 011 унікальних акаунтів були виведені кошти на суму близько $450,000. Атака відбулась 3–4 вересня 2026 року й тривала приблизно три години; зловмисник здійснив 10 281 транзакцію та об’єднав викрадені активи на одну Ethereum-адресу.

За підрахунками, із гаманців виведено 267 664 XRP, 23,2 млн XRPH і 2,43 млн XRPHAI. На Ethereum-адресі, куди сконцентровані кошти, станом на публікацію знаходиться близько 445 198 DAI.

Внутрішнє технічне розслідування визначило, що причина витоку — помилка в процедурі генерації приватних ключів. Розробники передавали 55-символьне значення у функцію xrpl.Wallet.fromEntropy(), яка очікує сирі байти. Функція брала до уваги тільки перші 16 символів, з яких лише 14 були змінними. Через це ентропія ключів зменшилась із розрахункових 2^128 варіантів до приблизно 2^46, що зробило можливим перебір ключів на звичайному обладнанні за лічені години.

Додатковою проблемою стало використання Math.random() у коді, який не є криптографічно стійким генератором випадкових чисел. За цих умов методи повного перебору стали технічно здійсненними для одного зловмисника.

Інженери XRPH Wallet відтворили приватні ключі для дев’яти акаунтів, серед яких чотири були підтверджено зламані під час атаки. Це свідчить про те, що компрометація відбулася на рівні генерації ключів, а не через доступ до пристроїв користувачів чи безпосередньо до XRP Ledger.

Команда проєкту вимкнула XRPH Wallet 4 вересня і продовжує співпрацю з біржами та правоохоронними органами. Зберігаються технічні логи й збираються звіти від постраждалих користувачів для можливих юридичних дій.

Представники проєкту повідомили, що шанси на повне повернення коштів малі, особливо якщо викрадені активи пройшли через міксери або були конвертовані на платформах без ідентифікації користувачів. Команда продовжує моніторинг руху коштів і надає дані правоохоронцям та аналітичним сервісам.

Інцидент призвів до різкого зниження ліквідності токенів XRPH та XRPHAI; процес делістингу з бірж розпочато. У хронології подій фігурують: початок зливу коштів 3 вересня, вимкнення гаманця 4 вересня, технічне розслідування 7–8 вересня і офіційне оголошення про закриття проєкту 10 вересня.

Користувачам, які постраждали від атаки, рекомендують надати інформацію про транзакції команді проєкту і правоохоронцям. Компанія зберігає технічні записи та готує матеріали для можливих судових процесів. Відновлення коштів залежатиме від можливості відстежити подальші перетворення активів і зупинити їхню конвертацію.