XRP Healthcare mengatakan penyelidikan awal menemukan bahwa transaksi tidak sah memengaruhi sekitar 4.011 dompet dan menghapus sekitar $452.000 dalam aset digital. Dalam update resmi yang diterbitkan pada 4 September, perusahaan tersebut mengatakan sekitar 445.000 DAI telah dilacak ke satu dompet Ethereum dan belum bergerak pada saat pernyataan tersebut.
Angka dan penilaian pelacakan adalah klaim perusahaan dari penyelidikan awal. XRP Healthcare mengatakan pemulihan tidak dapat dijamin dan tidak menerbitkan laporan teknis lengkap yang mengidentifikasi bagaimana kunci dompet dikompromikan.
Perusahaan mengatakan XRP Ledger tidak bersalah
XRP Healthcare mengatakan para pengembangnya tidak menemukan bukti bahwa XRP Ledger itu sendiri menyebabkan insiden tersebut. Aset yang terdampak termasuk token yang digunakan dengan XRPH Wallet, tetapi perusahaan meninggalkan titik masuk yang tepat dalam penyelidikan.
Perbedaan ini penting karena kebocoran kunci tingkat aplikasi, ketergantungan jahat, atau kegagalan keamanan sisi server memerlukan respons berbeda dari kelemahan pada buku besar dasar. Pernyataan ini mempersempit satu kemungkinan, tetapi tidak menetapkan komponen aplikasi mana yang gagal, kapan eksposur dimulai, atau apakah setiap pengguna yang terdampak mengikuti jalur yang sama.
Dana dilacak, tetapi tidak dipulihkan
Perusahaan mengatakan aset tersebut dilacak secara utuh dan bahwa DAI tetap berada di satu alamat Ethereum ketika pembaruan diposting. Perusahaan berencana untuk mengejar pemblokiran alamat dan opsi pemulihan lainnya. Saldo yang terlihat dapat membantu penyelidik berkoordinasi dengan penerbit token dan bursa, namun kendali tetap berada pada siapa pun yang memegang kunci pribadi kecuali pihak lawan yang berwenang dapat ikut campur.
XRP Healthcare tidak mengumumkan program penggantian biaya, jadwal pembayaran, atau pembekuan yang dikonfirmasi. Oleh karena itu, pembaca harus membedakan antara “dilacak” dan “dipulihkan”: yang pertama menggambarkan penyelidik menemukan aset di buku besar publik, sementara yang kedua memerlukan perusahaan atau pengguna untuk mendapatkan kembali kendali.
Pengguna masih memerlukan lingkungan dompet yang bersih
Perusahaan telah memberi tahu pengguna untuk tidak menggunakan XRPH Wallet selama penyelidikan berlangsung. Jika frase pemulihan atau kunci pribadi terungkap, pembaruan aplikasi saja tidak akan mengamankannya. Panduan kami tentang bagaimana seed phrase mengendalikan dana dompet menjelaskan mengapa aset yang tersisa harus dipindahkan ke rahasia yang baru dibuat, bukan dibiarkan di bawah kredensial lama.
Laporan pasca-kejadian yang kredibel harus mengidentifikasi versi yang terdampak, jalur data yang mengekspos kunci, periode risiko, dan kontrol yang ditambahkan setelahnya. Sampai rincian tersebut tersedia, pengguna harus hanya mengandalkan saluran perusahaan yang telah diverifikasi dan menolak pesan pemulihan yang tidak diminta yang meminta frasa, kunci, atau pembayaran di muka.