Aanvaller haalt voor $18,7 miljoen XRP uit appwallets
Zes aanvalsgolven liepen vijf dagen door
Een onbekende aanvaller haalde tussen 15 en 20 september de cryptomunt XRP uit 6.678 adressen van de DCENT-appwallet; de buit was op 23 september circa $18,7 miljoen waard. Die wallet is van walletmaker IoTrust. De transacties waren geldig ondertekend; het netwerk achter XRP functioneerde normaal. De technische oorzaak blijft onderwerp van onderzoek.
Blockchainanalysedienst XRPL.to telde zes aanvalsgolven en 6.678 adressen. Die adressen kunnen van minder gebruikers zijn. Walletmaker IoTrust had op 18 september ongeveer 110 gebruikersmeldingen ontvangen en onderzocht welke bij dezelfde aanval hoorden. Twee dagen eerder waren circa twintig melders bekend. Latere meldingen gingen vooral over XRP, maar ook over andere cryptomunten.
XRPL.to kwam na een herberekening op 21 september uit op 11,7 miljoen XRP uit 6.678 adressen. Een eerdere appanalyse noemde 10,1 miljoen XRP uit 6.633 adressen. DCENT bevestigt ongeautoriseerde transacties en laat de totaalcijfers bij XRPL.to.
Geld ging via wisseldiensten verder
De aanvaller verwijderde volgens XRPL.to 5.001 accounts. Bij 2.470 verwijderingen ging het om extra adressen naast de eerder geleegde reeks. XRPL.to verbindt de zes golven door dezelfde computerprogramma’s, transactiekosten en lijst met toegangssleutels. De dienst schrijft de golven aan één aanvaller toe. De identiteit daarvan blijft onbekend.
De buit uit twee golven ging volgens dezelfde reconstructie via 36 stortingen bij wisseldienst THORChain naar drie Ethereum-adressen. Geld uit een andere golf ging naar wisseldienst unionchain.ai. De opbrengst van de zesde golf bereikte binnen dertien minuten wisseldienst NEAR Intents. DCENT zegt met de politie, cryptobeurzen en beveiligingsspecialisten aan het volgen en bevriezen van het geld te werken. Een bevestigd bevroren of teruggevonden bedrag en een compensatieplan ontbreken.
Oude appgebruikers moeten verhuizen
DCENT kreeg in de vroege ochtend van 16 september in Zuid-Korea de eerste melding van een slachtoffer. Die middag waarschuwde het bedrijf gebruikers, vroeg het cryptobeurzen om verdachte tegoeden te bevriezen en meldde het de zaak bij de Koreaanse politie. Een dag later waren er een controlefunctie, een politiehotline en een extern beveiligingsteam.
De waarschuwing geldt volgens DCENT wanneer drie voorwaarden samenkomen: de herstelzin stond ooit in de softwarematige App Wallet, het adres ondertekende een transactie en dat gebeurde met een appversie van vóór 8.1.0. Ook een hardwarewallet kan daardoor geraakt zijn als zijn herstelzin ooit in de App Wallet is ingevoerd. Versie 8.1.0 verscheen op 5 november 2025.
Mogelijk getroffen gebruikers moeten van DCENT eerst de app bijwerken. Daarna moeten zij een wallet met een volledig nieuwe herstelzin maken en al hun digitale bezittingen naar nieuwe adressen verplaatsen. Alleen bijwerken is onvoldoende.
IoTrust en twee hoogleraren bekeken volgens de Zuid-Koreaanse nieuwssite ZDNet Korea of oude versies zwakke willekeur gebruikten bij het maken van sleutels of handtekeningen. XRPL.to zag daarnaast dat de onderzochte Android-app na invoer van een pincode direct aangeleverde code kon ondertekenen. Bedrag, munt en bestemming bleven daarbij buiten beeld. Die architectuur biedt aanvalsmogelijkheden; de werkelijke oorzaak is nog onderwerp van onderzoek.
Voor wie het op de blockchain wil naslaan: XRPL.to koppelt de golven 2 tot en met 6 aan r9NqRaFEM2Y73Cqq2sxCuzbBJCLDmZJREg, rU5k4sSU9HN5c1Mpe2GhKmFXcdNX5ta7At, rU9SywNk6Uky8JxCXn5NcCrNx7QpWdbdHt, rQKqEk7j1bKijfW8yiSjUMYqWVZMpUtgwY en rJSo9yfhWzxwXMBaYWMbLhZML3cA9E9yuV.