Почти 20 млн $ в XRP выведено из 6,678 кошельков за шесть волн атак

Почти 20 млн $ в XRP было выведено из тысяч аппаратных кошельков за шесть волн, растянувшихся почти на неделю.

Аналитическая компания XRPL.to, специализирующаяся на блокчейне, отследила вывод 11,75млн XRP из 6,678 отдельных кошельков в период с 15 по 20 сентября. В этот период произошло несколько волн вывода средств после того, как DCENT предупредила пользователей о несанкционированных переводах с использованием ее мобильного приложения App Wallet.

При текущей цене XRP около 1,59 $ стоимость этих токенов составляет примерно 18,68 млн $.

По данным XRPL.to, первый выявленный массовый вывод средств начался в 15:35 UTC 15 сентября. DCENT сообщила, что получила первое обращение клиента из Кореи 16 сентября и в тот же день начала уведомлять пользователей через приложение и официальные каналы. XRP, выведенные из кошельков D'CENT (Источник: XRPL.to)

Затем вывод средств возобновился.

По данным XRPL.to, новая волна началась в 07:05 UTC 17 сентября, а последний зафиксированный в ходе расследования массовый вывод произошел в 20:56 UTC 20 сентября.

Аналитики насчитали 4,208 кошельков, опустошенных с помощью платежных транзакций, и еще 2,470 кошельков, очищенных путем удаления аккаунта без предшествующего платежа в отслеживаемых данных. Также было выявлено 5,001 транзакция AccountDelete, инициированная с 4,950 кошельков, включая аккаунты, из которых средства уже были частично выведены.

Удаление аккаунта позволило контролировавшим ключи лицам вывести остатки средств, которые могли сохраниться после обычных платежных транзакций. Пока аккаунты в реестре XRP (XRPL) открыты, на них должен оставаться резерв, однако транзакция AccountDelete может закрыть подходящий для этого аккаунт и перевести оставшиеся XRP на другой адрес за вычетом комиссии за удаление.

В ходе одного такого удаления было переведено 107,507 XRP стоимостью около 171 000 $ по текущим ценам.

XRPL.to сообщила, что платежные транзакции и транзакции удаления аккаунтов были корректно подписаны ключами затронутых аккаунтов. След в блокчейне не раскрывает, каким образом были получены эти ключи, а DCENT пока не сообщила техническую причину инцидента.

Через THORChain прошло более 5,6млн XRP

К тому времени, когда следователи проследили движение средств, значительная часть украденных XRP уже начала покидать реестр XRP.

По состоянию на 11:26 UTC 21 сентября XRPL.to отследила 5,67млн XRP, прошедших через THORChain. В их числе — около 5,59млн XRP из двух волн вывода, переведенных с помощью транзакций, в примечаниях к которым были указаны адреса назначения в сети Эфириума.

Еще 3,24млн XRP поступили на unionchain.ai, которую XRPL.to описала как криптобиржу, около 546,080 XRP достигли NEAR Intents, а 535,666 XRP были переведены на адреса для депозитов Binance.

На момент фиксации данных следователем около 1,31млн XRP оставались в кошельках, связанных с этой операцией.

Такие направления движения средств осложняют попытки вернуть активы. THORChain и NEAR Intents позволяют перемещать стоимость между сетями, создавая дополнительные следы, которые следователям необходимо отслеживать после обмена XRP на активы в другом блокчейне.

В то же время переводы на адреса, связанные с биржами, могут стать потенциальными точками для вмешательства, хотя сам по себе адрес для депозита не доказывает, что средства были проданы или остаются доступными.

DCENT сообщила, что сотрудничает с правоохранительными органами Кореи, внешними специалистами по безопасности, блокчейн-проектами и биржами, чтобы отследить средства и запросить их заморозку, где это возможно.

Компания не сообщала о завершенной заморозке или возврате средств. По ее словам, любые такие действия зависят от правоохранительных органов, бирж и других третьих сторон, контролирующих сервисы, через которые проходили средства.

DCENT призывает владельцев отказаться от скомпрометированных фраз восстановления

Продолжающиеся волны вывода средств побудили DCENT усилить предупреждение 20 сентября и обратиться к более широкому сообществу блокчейна и криптовалют с просьбой помочь связаться с пользователями App Wallet, которые могли не увидеть предыдущие уведомления.

"Самый важный шаг для предотвращения дальнейшего ущерба — перевести активы из DCENT App Wallet", — заявила компания, призвав пользователей и криптосообщества напрямую распространять ее рекомендации среди всех, кому известно об использовании приложения.

DCENT рекомендовала затронутым пользователям обновить приложение через официальный магазин приложений, прежде чем предпринимать дальнейшие действия, а затем перевести средства на кошелек, созданный с помощью совершенно новой фразы восстановления.

Это требование распространяется также на некоторых пользователей аппаратных кошельков.

DCENT заявила, что всем, кто ранее вводил или восстанавливал фразу восстановления аппаратного кошелька в App Wallet, следует выполнить ту же процедуру переноса средств. Повторное использование той же фразы на аппаратном устройстве не создает новых закрытых ключей, поэтому прежняя утечка затрагивает и новое устройство.

Критерии компании для определения потенциально затронутых пользователей также охватывают адреса, фраза восстановления которых использовалась в App Wallet и с которых подписывались транзакции в версии приложения до 8.1.0, выпущенной 5 ноября 2025 года. Пользователям, обновившим программу позднее, все равно рекомендуют проверить, какая версия была установлена, когда они ранее подписывали транзакции.

По словам DCENT, пользователям аппаратных кошельков, которые никогда не вводили фразу восстановления в App Wallet и не использовали программный кошелек для подписания транзакций, согласно действующим критериям компании переносить средства не нужно.

Компания также предупредила пользователей о второй волне возможных потерь из-за мошенников, которые пытаются воспользоваться инцидентом. DCENT заявила, что никогда не запрашивает фразу восстановления, закрытый ключ или PIN-код и не предоставляет адрес кошелька, на который пользователи должны отправлять активы для их возврата или получения компенсации.

Пользователям, уже столкнувшимся с несанкционированными переводами, DCENT сообщила 20 сентября, что все еще разрабатывает процедуру определения масштабов инцидента и статуса затронутых активов.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.