XRPH-Wallet-Bug zieht 450.000 Dollar ab und stoppt Betrieb

XRP Healthcare fährt den Betrieb herunter, nachdem eine Wallet-Schwachstelle rund 4.000 XRPL-Konten offengelegt und zwischen dem 3. und 4. September etwa $450.000 an Nutzergeldern abgezogen hat. Der Vorfall vom 3. September mit dem XRPH Wallet, der über 10.281 Zahlungen von 4.011 Absender-Wallets zurückverfolgt wurde, bewegte 267.664 XRP, 23,2 Millionen XRPH und 2,43 Millionen XRPHAI an eine einzige Sammeladresse. XRP Healthcare erklärte, der Vorfall habe finanziellen und operativen Druck auf ein Unternehmen ausgeübt, das bereits durch Entwicklungskosten, einen langen Krypto-Winter und einen gescheiterten Börsengang belastet war. Die Plattform bereitet das Delisting von XRPH und XRPHAI vor, wobei die Börsen voraussichtlich Auszahlungsfristen festlegen werden.

Warum es wichtig ist

Das technische Post-Mortem erklärt, wie ein kleines Projekt zur Fallstudie für einen katastrophalen Schlüsselraum-Kollaps wurde. Die Entwickler-Untersuchung von XRP Healthcare ergab, dass das XRPH Wallet einen 55-Zeichen-Wert an xrpl.Wallet.fromEntropy() übergab, das rohe Bytes erwartete. Nur die ersten 16 Zeichen wurden beibehalten, sodass nur 14 variable Ziffern übrig blieben und der effektive Eingaberaum auf rund 72,9 Billionen Kombinationen, etwa 2^46, reduziert wurde, verglichen mit den vorgesehenen 2^128. Der Einsatz von Math.random() verengte den praktischen Suchraum wahrscheinlich weiter. Das Team reproduzierte private Schlüssel für neun aktive Wallets, darunter vier bestätigte leergeräumte Konten, und nutzte dabei nur öffentliche Informationen und einen teilweisen Scan des reduzierten Schlüsselraums.

Marktauswirkungen

Die Schwachstelle bedeutet, dass betroffene Nutzer sich nicht erholen können, indem sie denselben Seed in andere Software importieren. Neue Zugangsdaten sind erforderlich. XRP Healthcare hat betroffene Nutzer aufgefordert, alte Schlüssel aufzugeben und verbleibende Vermögenswerte über frisch generierte Wallets zu transferieren. Die Wiederherstellungsbemühungen werden trotz der Schließung fortgesetzt: Gestohlene Vermögenswerte wurden vollständig zu einer Ethereum-Adresse zurückverfolgt, die rund 445.198 DAI hält, und das Unternehmen bittet Opfer, sachliche Berichte mit Transaktionsaufzeichnungen der leergeräumten Wallets auf Etherscan einzureichen. Der Kollaps ist in absoluten Dollar-Begriffen klein, unterstreicht jedoch ein Muster von Wallet-Infrastruktur-Ausfällen, die ansonsten funktionsfähige Projekte mitreißen. Dies ist ein Risiko, das die übrige XRPL-Builder-Community aufzufangen haben wird.