Южнокорейский бренд D'CENT (IoTrust) расследует серию несанкционированных переводов из своего мобильного кошелька App Wallet. По данным аналитической платформы XRPL.to, с 15 по 20 сентября из 6 678 кошельков было выведено 11,75 млн XRP, что при цене около $1,59 составляет примерно $18,68 млн.
Первая аномальная транзакция зафиксирована 15 сентября в 15:35 UTC. Первое обращение клиента D'CENT получил 16 сентября и начал оповещать пользователей, однако атаки продолжились: следующая волна началась 17 сентября в 07:05 UTC, последняя из задокументированных — 20 сентября в 20:56 UTC. Всего XRPL.to выделяет шесть волн вывода средств. По данным аналитиков, 4 208 кошельков были опустошены через платежные транзакции, еще 2 470 — через удаление аккаунта без предшествующего платежа. В общей сложности зафиксировано 5 001 транзакция AccountDelete, одна из которых переместила 107 507 XRP.
D'CENT связывает потенциальный риск с использованием App Wallet версии ранее 8.1.0, выпущенной 5 ноября 2025 года, если пользователь вводил фразу восстановления, подписывал транзакцию или одобрение. Аппаратные кошельки, по заявлению компании, не затронуты, если их фраза восстановления не использовалась в приложении. Простое обновление приложения недостаточно: пострадавшим рекомендуется создать кошелек с полностью новой фразой восстановления и перенести туда все монеты, токены, NFT и стейкинг-позиции.
По данным XRPL.to, порядок вывода средств указывает на то, что злоумышленник работал по списку уже скомпрометированных адресов: очередность опустошения кошельков соответствовала датам их создания, большинство пострадавших аккаунтов были созданы в 2021–2023 годах, около четверти пополнялись с корейских бирж Upbit, Bithumb и Coinone. IoTrust сообщила ZDNet Korea о 110 обращениях к 18 сентября и обратилась в подразделение полиции по киберпреступлениям, а также к биржам с просьбой заморозить украденные средства.
Часть похищенного XRP уже покинула XRP Ledger. По состоянию на 21 сентября 5,67 млн XRP прошли через THORChain, из них 5,59 млн — через транзакции с адресами Ethereum в memo; 3,24 млн XRP ушли на unionchain.ai, около 546 080 XRP — в NEAR Intents, 535 666 XRP — на депозитные адреса Binance. Примерно 1,31 млн XRP оставались в кошельках, связанных с атакой. Ранее XRPL Intel оценивал потенциальный пул пострадавших в 6 160 адресов и 9,3 млн XRP, однако D'CENT эти цифры не подтверждал. Компания пока не анонсировала компенсации и предупредила о мошенниках: она никогда не запрашивает фразу восстановления, приватный ключ или PIN и не дает адресов для «спасательного» перевода средств.
