XRPH : une faille vole 450 000 $ et ferme XRP Healthcare

XRP Healthcare cesse ses activités après qu'une faille de son portefeuille a exposé environ 4 000 comptes XRPL et permis le vol d'environ 450 000 $ de fonds utilisateurs entre les 3 et 4 septembre. L'incident du portefeuille XRPH du 3 septembre, retracé sur 10 281 paiements provenant de 4 011 portefeuilles émetteurs, a transféré 267 664 XRP, 23,2 millions de XRPH et 2,43 millions de XRPHAI vers une seule adresse collecteur. XRP Healthcare a déclaré que la brèche ajoutait une pression financière et opérationnelle à une entreprise déjà accablée par les coûts de développement, un hiver crypto prolongé et une tentative d'introduction en bourse ratée. La plateforme prépare la radiation du XRPH et du XRPHAI, les plateformes d'échange devant fixer des échéances de retrait.

Pourquoi c'est important

L'analyse post-mortem technique explique comment un petit projet est devenu une étude de cas d'effondrement catastrophique de l'espace de clés. L'enquête des développeurs de XRP Healthcare a révélé que le portefeuille XRPH transmettait une valeur de 55 caractères à xrpl.Wallet.fromEntropy(), qui attendait des octets bruts. Seuls les 16 premiers caractères étaient conservés, laissant à peine 14 chiffres variables et réduisant l'espace d'entrée effectif à environ 72 900 milliards de combinaisons, soit à peu près 2^46, contre les 2^128 prévus. L'utilisation de Math.random() a probablement encore réduit l'espace de recherche pratique. L'équipe a reconstitué les clés privées de neuf portefeuilles actifs, dont quatre comptes confirmés vidés, en utilisant uniquement des informations publiques et une analyse partielle de l'espace de clés réduit.

Impact sur le marché

Cette faiblesse signifie que les utilisateurs exposés ne peuvent pas récupérer en important la même graine dans un autre logiciel ; de nouveaux identifiants sont nécessaires. XRP Healthcare a demandé aux utilisateurs concernés d'abandonner les anciennes clés et de transférer les actifs restants via des portefeuilles fraîchement générés. Les efforts de récupération se poursuivent malgré l'arrêt : les actifs volés ont été retracés de bout en bout jusqu'à une adresse Ethereum détenant environ 445 198 DAI, et l'entreprise demande aux victimes de déposer des signalements factuels sur Etherscan avec les enregistrements de transactions des portefeuilles vidés. L'effondrement reste modeste en valeur absolue, mais il confirme un schéma récurrent de défaillances d'infrastructure de portefeuille qui entraîne dans leur chute des projets par ailleurs fonctionnels, un risque que le reste de la communauté de développeurs XRPL devra absorber.