XRP Healthcare mengatakan 4.011 akun Dompet XRPH terdampak oleh transaksi tidak sah yang dimulai pada 3 September, dengan sekitar $452.000 dalam bentuk XRP dan aset terkait telah hilang.
XRP Healthcare awalnya mengkonfirmasi transaksi tidak sah yang melibatkan XRP, XRPH, XRPHAI, dan aset lainnya. Perusahaan menginstruksikan pengguna untuk berhenti menggunakan Dompet XRPH sampai pemberitahuan lebih lanjut sementara pengembangnya menyelidiki kompromi tersebut.
Pembaruan selanjutnya menyatakan jumlah dompet yang terpengaruh sekitar 4.011 dan perkiraan kerugian sebesar $452.000. Perusahaan mengatakan penyelidik melacak aset tersebut ke satu alamat Ethereum dan menghubungi bursa serta pihak lain untuk membekukan atau memulihkannya.
Peneliti on-chain independen Handy Andy melaporkan bahwa akun yang terpengaruh kehilangan 267.664 XRP dan sekitar 23,2 juta token XRPH. Peneliti mengatakan aset tersebut dikonversi menjadi sekitar 445.198 DAI di Ethereum dan tetap berada di dompet tujuan pada saat pembaruan.
Penyelidik independen mengaitkan peretasan Dompet XRPH dengan fungsi staking-nya. Analisis mereka menuduh bahwa mengaktifkan staking menyebabkan frasa benih pengguna dikirim ke server jarak jauh.
XRP Healthcare belum menerbitkan kode sumber, log server, atau laporan forensik independen yang mengkonfirmasi penjelasan tersebut saat artikel ini disiapkan. Oleh karena itu, paparan frasa benih tetap menjadi temuan peneliti daripada akar penyebab yang dikonfirmasi perusahaan.
Frasa benih memberikan kontrol atas setiap kunci pribadi yang dihasilkan oleh dompet. Siapa pun yang mendapatkannya dapat mereproduksi dompet dan mengotorisasi transaksi tanpa mengakses ponsel korban. Crypto.news sebelumnya menjelaskan bagaimana frasa benih berfungsi sebagai kunci pemulihan utama dan mengapa frasa benih tidak boleh meninggalkan lingkungan aman pengguna.
Kegagalan yang dilaporkan menyerupai insiden Juli di mana paket perangkat lunak yang disusupi mengirimkan kunci pribadi melalui fungsi telemetri yang curang. Namun, saat ini tidak ada bukti yang menghubungkan kedua kasus atau pelakunya.
Pelanggaran tersebut memicu kritik publik dari pengembang yang sebelumnya terkait dengan Ripple dan ekosistem XRP Ledger. BiasGoose mengatakan dia telah menolak aplikasi hibah sebelumnya dari proyek tersebut karena aplikasi tersebut menunjukkan apa yang dia anggap sebagai tanda peringatan yang jelas.
Dia kemudian menuduh bahwa tim tersebut telah salah merepresentasikan kemitraan dalam aplikasinya. Hazard Cookie mengatakan peninjau sebelumnya telah mengidentifikasi risiko yang tidak terlihat secara publik pada saat itu.
Mantan pengembang Ripple Matt Hamilton juga merujuk pada reputasi proyek sebelumnya di komunitas. Pernyataan-pernyataan ini mewakili akun para pengembang. Catatan hibah publik atau dokumen audit lengkap yang membuktikan setiap tuduhan tidak tersedia.
XRP Healthcare menolak nada kritik tersebut dan menuduh mantan pengembang merayakan kerugian tim lain. Tanggapannya menyebut perilaku itu "benar-benar menyedihkan" dan mengatakan perusahaan telah mempertaruhkan reputasi dan modalnya sendiri. Pertukaran ini tidak menyelesaikan pertanyaan teknis seputar dompet.
XRP Healthcare sekarang harus menentukan titik masuk yang tepat, menentukan kapan informasi benih mungkin telah terungkap, dan mengidentifikasi versi aplikasi mana yang terpengaruh. Postmortem lengkap juga harus menjelaskan apakah server yang dilaporkan menyimpan frasa benih dan siapa yang dapat mengaksesnya.
Pengguna yang membuat atau mengimpor frasa benih ke dalam aplikasi yang terpengaruh tidak dapat hanya mengandalkan pembaruan aplikasi jika frasa tersebut terekspos. Dana yang tersisa harus ditransfer ke dompet yang baru dibuat menggunakan perangkat lunak tepercaya. Menggunakan kembali frasa benih lama akan mempertahankan akses penyerang.
Perusahaan belum mengumumkan program penggantian rugi atau batas waktu pemulihan. Perusahaan juga belum mengkonfirmasi apakah penegak hukum atau bursa mana pun berhasil membekukan dana yang dilacak. Pengguna harus mengandalkan saluran resmi dan menolak tawaran pemulihan yang tidak diminta yang meminta kunci, frasa benih, atau pembayaran.
Insiden ini mengikuti peningkatan yang lebih luas dalam kompromi dompet dan infrastruktur. Seperti yang dilaporkan crypto.news, kegagalan keamanan operasional menyebabkan 74% dana yang dicuri selama paruh pertama tahun 2026. Secara terpisah, program audit Ripple baru-baru ini mengidentifikasi 96 kerentanan di seluruh amandemen XRPL yang diusulkan, menunjukkan nilai pengujian sebelum perangkat lunak mencapai pengguna.
XRP
XRPH