Quase US$ 20 milhões em XRP drenados de 6.678 carteiras em seis ondas

Quase US$ 20 milhões em XRP foram drenados de 6.678 carteiras de hardware em seis ondas. A XRPL.to rastreou 11,75 milhões de XRP saindo das carteiras entre 15 e 20 de setembro. Ao preço atual de cerca de US$ 1,59 por XRP, os tokens valiam aproximadamente US$ 18,68 milhões. A primeira operação de drenagem identificada ocorreu às 15:35 UTC de 15 de setembro. A DCENT recebeu o primeiro relato de um cliente na Coreia em 16 de setembro. A DCENT começou a notificar os usuários por meio de seu aplicativo e canais oficiais naquele dia. Outra onda de coleta começou às 07:05 UTC de 17 de setembro. A operação final de drenagem da investigação ocorreu às 20:56 UTC de 20 de setembro. Transações de pagamento drenaram 4.208 carteiras. A exclusão de contas esvaziou outras 2.470 carteiras sem um pagamento anterior no conjunto de dados rastreado. A XRPL.to identificou 5.001 transações AccountDelete provenientes de 4.950 carteiras. As transações AccountDelete poderiam extrair XRP que operações comuns de pagamento poderiam deixar na reserva de uma conta. Uma transação AccountDelete movimentou 107.507 XRP no valor de cerca de US$ 171.000 aos preços atuais. A XRPL.to disse que as transações de pagamento e exclusão foram assinadas validamente com as chaves das contas afetadas. O rastro da blockchain não revela como as chaves foram obtidas. A DCENT não divulgou a causa técnica. A XRPL.to rastreou 5,67 milhões de XRP por meio da THORChain até 11:26 UTC de 21 de setembro. Cerca de 5,59 milhões de XRP vieram de duas ondas de coleta por meio de transações com memorandos que especificavam endereços de destino na Ethereum. Outros 3,24 milhões de XRP foram para a unionchain.ai. A XRPL.to descreveu a unionchain.ai como uma corretora. Cerca de 546.080 XRP chegaram à NEAR Intents. Outros 535.666 XRP foram transferidos para etiquetas de depósito da Binance. Cerca de 1,31 milhão de XRP permanecia em carteiras vinculadas à operação no momento da captura feita pelo investigador. A DCENT trabalha com autoridades policiais sul-coreanas, especialistas externos em segurança, projetos de blockchain e corretoras para rastrear o dinheiro. A DCENT solicita bloqueios quando possível. A DCENT não anunciou nenhum bloqueio ou recuperação concluídos. Qualquer ação desse tipo depende das autoridades policiais, das corretoras e de outros terceiros que controlam os serviços pelos quais os fundos passaram. A DCENT orientou os usuários da App Wallet a retirar os ativos do aplicativo em 20 de setembro. A DCENT disse aos usuários afetados para atualizar o aplicativo a partir de uma loja oficial de aplicativos. Em seguida, orientou-os a transferir seus ativos para uma carteira criada com uma frase de recuperação totalmente nova. A DCENT disse que usuários de carteiras de hardware que inseriram ou restauraram uma frase de recuperação dentro de sua App Wallet deveriam seguir o mesmo procedimento de migração. Reutilizar a mesma frase em um dispositivo de hardware não gera novas chaves privadas. Os critérios de potencial impacto da DCENT incluem endereços cuja frase de recuperação foi usada na App Wallet. Os critérios também incluem endereços que assinaram transações com uma versão do aplicativo anterior à 8.1.0. A versão 8.1.0 foi lançada em 5 de novembro de 2025. A DCENT disse que usuários de hardware que nunca inseriram sua frase de recuperação na App Wallet e nunca usaram a carteira de software para assinar transações não precisam migrar segundo seus critérios atuais. A DCENT alertou os usuários sobre impostores que tentam explorar o incidente. A empresa disse que nunca pedirá uma frase de recuperação, uma chave privada ou um PIN. A DCENT também disse que não fornecerá um endereço de carteira para que os usuários enviem ativos para recuperação ou compensação. A DCENT disse em 20 de setembro que ainda estava desenvolvendo um processo para determinar a extensão do impacto e o status dos ativos afetados.