Уязвимость в XRPH Wallet поставила под угрозу более 4000 кошельков

Уязвимость в XRPH Wallet и её последствия

В приложении XRPH Wallet от XRP Healthcare обнаружена серьёзная уязвимость, которая позволила восстановить ключи более чем 4000 кошельков. Ошибка связана с неправильным использованием 2^46 возможных комбинаций ключей. В итоге из 4011 кошельков через 10 281 транзакцию было украдено активов на сумму около 450 000 долларов США.

Украденные активы и их перемещение

В ходе атаки злоумышленники вывели 267 664 XRP, 23,2 миллиона XRPH и 2,43 миллиона токенов XRPHAI на один из Ethereum-адресов. На этих адресах также хранится около 445 198 DAI. Точный маршрут перевода средств пока не установлен, но работа по восстановлению активов продолжается.

Технические причины уязвимости

XRPH Wallet неправильно использовал 55-символьный ключ, учитывая только первые 16 символов. Это сократило пространство поиска ключей с 2^128 до 2^46. Кроме того, использование функции Math.random ещё больше ограничило практическое пространство поиска. В результате удалось восстановить приватные ключи 9 активных кошельков, 4 из которых были полностью опустошены.

Реакция XRP Healthcare и дальнейшие меры

Компания XRP Healthcare приняла решение вывести токены из обращения и перевести приложение XRPH Wallet в офлайн-режим. Пользователям рекомендовано создать новые ключи и перевести активы на них. В компании продолжают работу по возврату украденных средств, сохраняют технические и операционные логи и просят пользователей предоставлять подтверждения транзакций через Etherscan.

Влияние на пользователей и уроки безопасности

Инцидент вызвал серьёзную обеспокоенность среди пользователей XRP Healthcare. Им рекомендуется внимательно следить за безопасностью своих активов и создавать новые ключи. Этот случай вновь подчёркивает важность строгих мер безопасности в криптовалютной сфере.