Der Verlust von 452.000 US-Dollar durch das XRPH-Wallet: Wie die „nicht-kontrollierte“ Lösung 4.011 Benutzer schädigte

Am 3. September 2026 hat jemand in etwa drei Stunden 4.011 Geldbörsen leergeräumt.Der Erlös betrug etwa 452.000 Dollar – darunter 267.664 XRP, 23,2 Millionen XRPH-Token und 2,43 Millionen XRPHAI.Die gestohlenen XRP waren…In einer Minute wurden etwa 445.198 DAI auf Ethereum generiert.Und der Weg endet an einer Adresse, die seitdem still geblieben ist.

Das ist das Ereignis. Hier ist der Teil, der dazu führt, dass man die Aussagen bezüglich jeder Wallets in den nächsten Jahren anders interpretieren muss: Die XRP Healthcare-Company wurde wegen dieses Ereignisses geschlossen. Das Unternehmen, das die XRPH-Wallet entwickelt hat – die „erste Gesundheitsplattform auf dem XRP Ledger“ – wird nun geschlossen. Die XRPH-Wallet wurde bereits zum Zeitpunkt der bevorstehenden IPO, der Listung bei BitMart sowie der Token-Verkäufe vermarktet.Entfernung der XRPH- und XRPHAI-Tokens aus dem Liste..

Die wichtige Zahl ist nicht 452.000. Einige Hedgefonds können diese Zahl in einer Minute umwandeln. Was ein dreijähriges Projekt zum Scheitern brachte, ist die eigentliche Ursache – und diese Ursache hätte bereits vor dem Scheitern behoben werden können.

Was das Portemonnaie tatsächlich getan hat

Die XRPH-Wallet bezeichnet sich als „nicht-custodial“. Das ist ein Ausdruck, dem man nicht vertrauen sollte – denn „nicht-custodial“ bedeutet eigentlich, dass die Wallet keine Aufsicht über das Geld übernimmt.Nur du.Man hält die Schlüssel fest – und eine Brieftasche kann nicht wirklich versprechen, dass sie noch andere Dinge unter der Haube tut.

Nach dem Abfluss sind die eigenen Produkte des Unternehmens…Der ursächliche Bericht identifizierte einen Fehler im Prozess der Wallet-Generierung: Das App-Programm übermittelte eine nicht korrekt formatierte Entropie an die Funktion zur Generierung von XRPL-Schlüsseln.Eine schlechte Entropie bedeutet einen stark reduzierten Schlüsselraum – was die Wiederherstellung der privaten Schlüssel computergestützt möglich macht, auch ohne Internetanschluss. Unabhängige Forscher – und das Unternehmen gab später zu – entdeckten ein weiteres Problem: die Staking-Funktion.Die Seed-Phrasen der übermittelten Benutzer werden auf den Server von XRP Healthcare gesendet. Die Seed-Phrasen werden dabei nicht verschlüsselt auf dem Handy gespeichert..

Wenn man diese beiden Aspekte zusammenbringt, wird die Sache klar: Ein „nicht-kustodialer“ Wallet, der die Schlüssel aus zufälligen Daten erzeugt – und der dabei auch die Seed-Phrase verschlüsselt – ist kein echter Wallet. Es handelt sich dabei um einfach nur ein Dokument mit Logo. Die beiden Erklärungen unterscheiden sich in dem genauen Schritt, bei dem die Informationen herausgegeben werden – nämlich ob es um die Erzeugung von niedriger Entropie oder um die Übertragung der Seed-Phrase geht. Doch sie sind sich darin einig, dass das Programm selbst die Nutzer informiert. Keine der Erklärungen weist auf das XRP Ledger selbst hin.

Hier ist das Detail, das jeder betrifft, der per App Geld aufbewahrte: Das Staking war nicht alles. Von den 4.011 Geldbörsen, die entleert wurden, hatten nur 1.225 Gelder als Stake verwendet worden.Ungefähr sieben von zehn Opfern haben überhaupt nicht gewettet.Die Auswahl des Modells war kein Fehler – sie war vielmehr die Grundlage des Produkts. Wenn man das Wallet für irgendetwas verwendete, lag das Risiko bei einem selbst.

Die Warnungen waren im Jahr 2023 öffentlich bekannt.

Nun ist das die Eigenschaft, die einen einzelnen Hack von einer Geschichte unterscheidet – einer Geschichte, aus der man lernen kann. Mehrere ehemalige Entwickler von Ripple – darunter…Matt Hamilton, Vet Goose und Hazard Cookie – sie haben diese Risiken bereits vor Jahren erkannt.Vet Goose war direkt: Er hatte…Die Anträge von Declined XRP Healthcare wurden wegen falscher Partnerbeziehungen sowie einer technischen Architektur, die nicht funktionierte, abgelehnt. Er stellte sich auch die Frage, warum ein separater Token erforderlich war.Überhaupt nicht. Als das Unternehmen die Kritik als… abtat.Echtes erbärmlich.Und es wurde behauptet, dass die Verwaltung erst nachdem der Hackerangriff öffentlich bekannt wurde, von dem Problem mit der Saatübertragung erfahren habe. Sie haben jedoch keine konkreten technischen Antworten gegeben.

Das ist der Moment, an dem man innehalten und den „Tonight-Test“ auf seinen eigenen Prozess anwenden sollte. Bevor man Geld in irgendein Projekt investiert, kann man heute Nacht überprüfen, ob das Wallet, das behauptet, die „Seed“-Daten zu enthalten, tatsächlich die „Seed“-Daten enthält. Die Überprüfungen sind konkret:

1. Öffnen Sie die Quelle.Eine nicht-custodiale Wallets sollte Open-Source sein – und die installierte Version sollte mit dem veröffentlichten Repo übereinstimmen. Wenn es kein Repo gibt oder die Adresse ein geschlossenes Binary ist, dann ist der Begriff „nicht-custodial“ nicht zuverlässig. Man sollte ihn daher als Marketingbegriff betrachten.
2. Prüfen Sie die Ansprüche bezüglich des Keyspace.Lesen Sie, wie das „Samen“ erzeugt wird. Eine App, die die Entropie in eine Standardbibliothek umwandelt, ist normal – aber eine App, die ihre eigene Zufälligkeit selbst berechnet oder die man nicht überprüfen kann, ist ein Warnsignal.
3. Beobachten Sie das Netzwerkverhalten.Ist etwas in der App mit Ihrer Seed-Kennung verbunden? Eine Funktion zum Staking, bei der Ihre Phrase an einen Server gesendet wird – das ist eine Art „Selbstverwahrung“. Wenn Sie nicht sicher sind, dass das Geld auf dem Gerät bleibt, dann legen Sie das Geld ab.
4. Suchen Sie nach der früheren Ablehnung.Fragen Sie nach, ob die technischen Gutachter bereits abgelehnt haben – und warum. Eine abgelehnte Förderantragstellerung, in der ein leitender Entwickler die Architektur als fehlerhaft bezeichnet hat, ist eine öffentliche Information. Das ist auch billiger als weitere Probleme.

Das ist die Checkliste. Die Ausgänge wurden bereits vor der Einführung festgelegt. Wenn eine der Schritte nicht sofort überprüft werden kann, dann betreiben Sie nicht wirklich einen Wallet – sondern ein „Trust Fall“. Bei einer „toten Tape“- Situation könnte man diese Überprüfungen überspringen. Das ist genau der Moment, in dem die Menschen am wenigsten kontrollieren und das Risiko eines Fehlers am höchsten ist.

Wo das dich hinführt…

Für die Inhaber ist die Entscheidung bereits von der Firma getroffen worden: Liquidation, Ausstieg aus dem Handel, Fristen für die Abhebung von Geldern auf den verschiedenen Börsen – sowie kein bestätigtes Rückerhaltungsprogramm. Die Gelder befinden sich auf der Blockchain im XRPL-Konto und können unabhängig zurückgeholt werden. Doch es wurde zu diesem Zeitpunkt keine Verfügung zur Sperrung oder Rücknahme der Gelder getroffen. Falls Sie damit betraut sind, dann geht es nicht darum, ob das Token wieder zurückgeholt werden kann – sondern ob Sie immer noch eine „Schlüsselrolle“ innehaben, die auch der Angreifer haben könnte. Die Antwort ist daher, in ein neu generiertes Konto mit vertrauenswürdiger Software umzuschselzen, bevor man irgendetwas anfasst.

Für alle anderen ist XRP Healthcare eine kompakte, veraltete Warnhinweise.Die zweite Sicherheitslücke im XRP-Ecosystem innerhalb von 26 TagenNach einem separaten Coreum-Bridge-Incident: Der Mechanismus, den der Markt selbst übernehmen sollte, ist, dass eine Aufbewahrungsvereinbarung eine technische Forderung ist – und technische Forderungen können überprüft werden, nicht nur „Ahnungen“. Überprüfen Sie die Logik des Systems, überprüfen Sie, was das Programm übermittelt, und überprüfen Sie, wer „Nein“ sagte und warum.

Das „Playbook“ hier verschwindet sofort, wenn man aufhört, „nicht-kontrollierende“ als Beschreibung zu betrachten – und stattdessen sie als eine Aussage betrachtet, die heute Abend belegt werden muss. XRP Healthcare hat drei Jahre damit verbracht, den Markt für Forward-Transaktionen zu promoten –IPO bis Q3 2025Dann der AI-Ecosystem – und anschließend die Ankündigung von BitMart zwei Monate vor dem Ausfall. Das „Samen“ war nie ein Geheimnis. Das war das ganze Problem.