#黑客从dcent钱包盗取超1240万枚xrp
【D’CENT perde 12,4 milhões de XRP: um rand() entrega a chave privada】
De 9/15 a 25, a carteira do app móvel da D’CENT, do provedor de carteiras sul-coreano IoTrust, foi esvaziada — cerca de 12,4 milhões de XRP foram desviados de 7.393 carteiras; este é o segundo maior incidente de roubo de XRP do ano (apenas atrás da Bitget). Mais da metade já passou por THORChain para ETH e entrou na Binance para lavagem. Não é culpa de carteira de hardware: é o próprio software que entrega a chave.
Causa raiz: em cada assinatura de transação há um número aleatório (nonce), que deveria ser absolutamente sigiloso. O app da D’CENT não usou o método padrão: ele usa diretamente o rand() comum do celular, tomando os segundos do relógio como semente; a semente tem apenas 32 bits, ou seja, cerca de 4,3 bilhões de possibilidades. O atacante pega uma assinatura pública que você já publicou na blockchain e tenta todas as 4,3 bilhões de sementes (basta um notebook) — e assim calcula a chave privada exatamente igual. Uma única assinatura pública vazada eternamente expõe a chave privada.
Três baldes de água fria:
1) A vulnerabilidade foi corrigida na versão 8.1.0 em 05/11/2025, mas a comunicação dizia apenas “suporta múltiplas carteiras”; o aviso só veio em 9/16, com 10 meses de atraso.
2) Atualizar o app depois não ajudou: a chave privada já foi exposta quando você usou a versão vulnerável para assinar; a assinatura fica permanentemente registrada na cadeia.
3) Uma frase-semente apaga tudo na cadeia: em carteiras multi-chain, se uma falha, BTC/Tron/Stellar também são varridos; 6.095 contas foram apagadas.
Aviso: carteiras de hardware (modelos com leitor de impressão digital) não foram afetadas; a condição é não digitar a frase-semente no app. Chaves de carteira quente ficam sempre mais perigosas no celular; não digite a frase-semente em nenhum app; se aquela chave já assinou em uma versão vulnerável, ela já era — troque imediatamente. A THORChain voltou a ser um corredor para lavagem; sem KYC, DEX cross-chain mais uma vez comprova: a cada grande golpe, um caso desses se repete.
【D’CENT perde 12,4 milhões de XRP: um rand() entrega a chave privada】
De 9/15 a 25, a carteira do app móvel da D’CENT, do provedor de carteiras sul-coreano IoTrust, foi esvaziada — cerca de 12,4 milhões de XRP foram desviados de 7.393 carteiras; este é o segundo maior incidente de roubo de XRP do ano (apenas atrás da Bitget). Mais da metade já passou por THORChain para ETH e entrou na Binance para lavagem. Não é culpa de carteira de hardware: é o próprio software que entrega a chave.
Causa raiz: em cada assinatura de transação há um número aleatório (nonce), que deveria ser absolutamente sigiloso. O app da D’CENT não usou o método padrão: ele usa diretamente o rand() comum do celular, tomando os segundos do relógio como semente; a semente tem apenas 32 bits, ou seja, cerca de 4,3 bilhões de possibilidades. O atacante pega uma assinatura pública que você já publicou na blockchain e tenta todas as 4,3 bilhões de sementes (basta um notebook) — e assim calcula a chave privada exatamente igual. Uma única assinatura pública vazada eternamente expõe a chave privada.
Três baldes de água fria:
1) A vulnerabilidade foi corrigida na versão 8.1.0 em 05/11/2025, mas a comunicação dizia apenas “suporta múltiplas carteiras”; o aviso só veio em 9/16, com 10 meses de atraso.
2) Atualizar o app depois não ajudou: a chave privada já foi exposta quando você usou a versão vulnerável para assinar; a assinatura fica permanentemente registrada na cadeia.
3) Uma frase-semente apaga tudo na cadeia: em carteiras multi-chain, se uma falha, BTC/Tron/Stellar também são varridos; 6.095 contas foram apagadas.
Aviso: carteiras de hardware (modelos com leitor de impressão digital) não foram afetadas; a condição é não digitar a frase-semente no app. Chaves de carteira quente ficam sempre mais perigosas no celular; não digite a frase-semente em nenhum app; se aquela chave já assinou em uma versão vulnerável, ela já era — troque imediatamente. A THORChain voltou a ser um corredor para lavagem; sem KYC, DEX cross-chain mais uma vez comprova: a cada grande golpe, um caso desses se repete.
