Почти 20 миллионов долларов в XRP было выведено с тысяч аппаратных кошельков в шести волнах, охвативших почти неделю.
Фирма по анализу блокчейна XRPL.to отследила вывод 11,75 миллиона XRP из 6 678 уникальных кошельков в период с 15 по 20 сентября, включая несколько волн сбора средств после того, как DCENT предупредила пользователей о несанкционированных переводах, связанных с ее мобильным приложением App Wallet.
По текущей цене XRP около 1,59 доллара токены стоят примерно 18,68 миллиона долларов.
XRPL.to датирует первый идентифицированный сбор средств 15:35 UTC 15 сентября. DCENT сообщила, что получила первый отчет от клиента в Корее 16 сентября и в тот же день начала уведомлять пользователей через свое приложение и официальные каналы.
Затем вывод средств возобновился.
Согласно XRPL.to, следующая волна сбора средств началась в 07:05 UTC 17 сентября, а последний сбор, зафиксированный в ходе расследования, произошел в 20:56 UTC 20 сентября.
Исследователь насчитал 4 208 кошельков, средства с которых были выведены посредством платежных транзакций, и еще 2 470 кошельков, опустошенных путем удаления учетной записи без предшествующего платежа в отслеженном наборе данных. Также было выявлено 5 001 транзакция AccountDelete, исходящая из 4 950 кошельков, включая учетные записи, которые уже были частично опустошены.
Удаление учетной записи позволило тому, кто контролировал ключи, извлечь балансы, которые обычные платежные транзакции могли оставить. XRP Ledger (XRPL) требует резерв для поддержания открытых счетов, но транзакция AccountDelete может закрыть соответствующий счет и перевести оставшийся XRP, за вычетом комиссии за удаление, на другой адрес.
Одно из таких удалений переместило 107 507 XRP, что по текущим ценам составляет около 171 000 долларов.
XRPL.to заявила, что платежные транзакции и транзакции удаления были корректно подписаны ключами затронутых счетов. Блокчейн-след не раскрывает, как были получены эти ключи, а DCENT пока не раскрыла техническую причину инцидента.
Более 5,6 миллиона XRP перемещено через THORChain
Значительная часть украденных XRP начала покидать XRP Ledger еще до того, как исследователи нанесли на карту потоки.
По состоянию на 11:26 UTC 21 сентября XRPL.to отследила 5,67 миллиона XRP через THORChain, включая около 5,59 миллиона XRP, отправленных из двух волн сбора средств посредством транзакций, в полях назначения которых были указаны адреса назначения Ethereum.
Еще 3,24 миллиона XRP поступили на unionchain.ai, который XRPL.to описала как биржу, в то время как около 546 080 XRP достигли NEAR Intents, а 535 666 XRP были переведены на депозитные теги Binance.
Около 1,31 миллиона XRP оставалось в кошельках, связанных с операцией, на момент снимка исследователя.
Места назначения усложняют попытки восстановления активов. THORChain и NEAR Intents могут перемещать средства между сетями, создавая дополнительные пути, которые следователям приходится отслеживать после обмена XRP на активы в другой блокчейне.
Тем временем переводы на адреса, связанные с биржами, могут предоставить потенциальные точки вмешательства, хотя один лишь депозитный адрес не устанавливает, были ли средства проданы или остаются доступными.
DCENT заявила, что сотрудничает с правоохранительными органами Кореи, внешними специалистами по безопасности, блокчейн-проектами и биржами для отслеживания средств и запроса заморозки, где это возможно.
Компания не объявляла о завершении заморозки или восстановления. Она заявила, что любые подобные действия зависят от правоохранительных органов, бирж и других третьих сторон, контролирующих услуги, через которые проходили средства.
DCENT призывает держателей отказаться от скомпрометированных фраз восстановления
Продолжающиеся сборы средств побудили DCENT усилить свое предупреждение 20 сентября, призывая более широкое сообщество блокчейна и криптовалют помочь связаться с пользователями App Wallet, которые, возможно, не видели ее предыдущих уведомлений.
«Самый важный шаг для предотвращения дальнейшего ущерба — это вывод активов из DCENT App Wallet», — заявила компания, призывая пользователей и криптосообщества распространять ее рекомендации напрямую всем, кто, как известно, использует приложение.
DCENT рекомендовала пострадавшим пользователям обновить приложение из официального магазина приложений перед дальнейшими действиями и переместить свои активы в кошелек, созданный с совершенно новой фразой восстановления.
Это требование распространяется и на некоторых пользователей аппаратных кошельков.
DCENT заявила, что любой, кто ранее вводил или восстанавливал фразу восстановления аппаратного кошелька в своем App Wallet, должен следовать той же процедуре миграции. Перенос той же фразы обратно на аппаратное устройство не генерирует новые приватные ключи, что означает, что любое предыдущее раскрытие следует за фразой в новое устройство.
Критерии потенциального воздействия компании также включают адреса, чья фраза восстановления использовалась в App Wallet, и которые подписывали транзакции, используя версию приложения ранее 8.1.0, выпущенную 5 ноября 2025 года. Пользователям, которые позже обновили программное обеспечение, по-прежнему рекомендуется учитывать, какая версия была установлена при предыдущей подписи транзакций.
DCENT заявляет, что пользователям аппаратных кошельков, которые никогда не вводили свою фразу восстановления в App Wallet и никогда не использовали программный кошелек для подписи транзакций, не нужно мигрировать в соответствии с текущими критериями.
Компания также предупредила пользователей о второй волне потенциальных потерь от выдающих себя за других лиц, использующих инцидент. DCENT заявила, что никогда не будет запрашивать фразу восстановления, приватный ключ или PIN-код и не предоставит адрес кошелька, на который пользователи должны отправлять активы для восстановления или компенсации.
Для пользователей, которые уже понесли несанкционированные переводы, DCENT заявила 20 сентября, что она все еще разрабатывает процесс определения масштабов воздействия и статуса затронутых активов.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Oluwapelumi Adejumo
