El consumo de 452.000 dólares por la cartera XRPH: cómo una promesa de “no custodia” costó a 4.011 usuarios

El 3 de septiembre de 2026, alguien vació 4,011 carteras en aproximadamente tres horas.La recaudación fue de aproximadamente $452,000: 267,664 XRP, 23.2 millones de tokens XRPH y 2.43 millones de XRPHAI.El XRP robado fue…Se convirtió en aproximadamente 445,198 DAI en Ethereum en un minuto.Y el camino terminaba en una dirección que permanecía en silencio desde entonces.

Ese es el incidente. Esta es la parte que debe cambiar la forma en que se interpretan todos los informes relacionados con las carteras de monedas en el próximo año: XRP Healthcare cerró debido a ese incidente. La empresa que desarrolló la cartera XRPH – “la primera plataforma de salud en la XRP Ledger”, que estaría a la venta durante una IPO, una cotización en BitMart y una venta de tokens – está cerrando sus operaciones.Eliminar de la lista a los tokens XRPH y XRPHAI..

El número que realmente importa no es 452,000. Algunos fondos de inversión pueden mover esa cantidad en un minuto. Lo que destruyó un proyecto de tres años de duración fue la causa raíz del problema; y esa causa raíz debería haberse eliminado años antes, para evitar el desperdicio de recursos.

Lo que realmente hizo el monedero

La cartera XRPH se promociona como una cartera no custodial. Esa es la expresión en la que hay que dejar de confiar por completo; “no custodial” en realidad es una forma de decir que existe custodia en ella.Solo tú.Seguirán teniendo las llaves, y un monedero no puede prometer sinceramente que haga otras dos cosas en secreto.

Después del drenaje, la propia empresa…El informe sobre las causas raíz identificó un defecto en el proceso de generación de monederos: la aplicación transmitió datos de formato incorrecto a la función de generación de claves XRPL.La entropía baja significa que el espacio de claves se reduce drásticamente, lo que hace que la reconstrucción de las claves privadas sea factible desde fuera de línea. Investigadores independientes –y la empresa reconoció esto más tarde– encontraron un segundo problema, aún peor: la función de apuestas.Las frases de semilla de los usuarios transmitiesen a el servidor de XRP Healthcare, y la semilla se almacenaba sin cifrar en el teléfono..

Si se combinan esos dos elementos, la situación queda clara. Un “wallet no de custodia” que pueda generar su clave a partir de una aleatoriedad predecible… y que, además, transmita la frase de inicio de sesión de forma discreta… no es realmente un wallet, sino más bien un documento de deuda con un logotipo. Las dos explicaciones difieren en cuál paso específico ha ocurrido el problema: la generación de entropía baja o la transmisión de la frase de inicio de sesión. Pero ambas coinciden en un hecho importante: el código del propio aplicativo expone a los usuarios. Ninguna de las dos explicaciones apunta directamente al propio XRP Ledger.

Aquí está el detalle que debería preocupar a cualquiera que utilizara la aplicación para guardar monedas: la apuesta no era todo. De los 4,011 billeteras vaciadas, solo 1,225 contenían activos apostados.Aproximadamente siete de cada diez víctimas nunca apostaron nada en absoluto.La exposición no era un error en el diseño del producto; era simplemente una característica esencial del mismo. Si utilizabas la cartera para cualquier propósito, el riesgo era tuyo.

Las advertencias fueron públicas en 2023.

Ahora, esa parte que distingue un “hack” único de una historia de la que se puede aprender. Varios ex desarrolladores de Ripple… incluyendoMatt Hamilton, Vet Goose y Hazard Cookie… Dicen que identificaron estos riesgos hace años.Vet Goose era directo: él tenía…Rechazó las solicitudes de financiación de XRP Healthcare debido a afirmaciones engañosas sobre la asociación y a una arquitectura técnica que no funcionaba bien. También se preguntó por qué era necesario un token separado.En absoluto. Cuando la empresa rechazó las críticas como“Realmente patético”.Y insistió en que la dirección solo se enteró del problema relacionado con la transmisión de semillas después de que el hackeo se hiciera público. No respondió a las cuestiones técnicas relacionadas con el tema.

Este es el momento de detenerse y aplicar la “Prueba de esta Noche” a su propio proceso. Antes de invertir dinero en cualquier proyecto relacionado con tokens, ¿puede verificar, esta noche, si el cartera que afirma contener sus criptos realmente los contiene? Las verificaciones son concretas.

1. Abre el código fuente.Una cartera no custodial debe ser de código abierto, y la versión que se instale debe coincidir con el repositorio publicado. Si no existe ningún repositorio, o si la dirección es una dirección binaria cerrada, la expresión “no custodial” no está verificada… Por lo tanto, conviene reducirla a una descripción meramente comercial.
2. Verifique la reclamación del espacio de claves.Lea cómo se genera la semilla. Un aplicativo que convierte la entropía en una biblioteca estándar es algo normal; un aplicativo que genera su propia aleatoriedad de forma manual, o aquel en el que no se puede inspeccionar la calidad de la aleatoriedad, es algo problemático.
3. Observa el comportamiento de la red de transmisión.¿Alguna cosa en la aplicación se comunica con tu “seed”? Una función de apalancamiento que envía tu frase a un servidor es una forma de custodia… pero en realidad es una forma de autocustodia. Si no puedes confirmar que esto se mantiene en el dispositivo, mueve el dinero.
4. Busca el rechazo anterior.Pregunte si los revisores técnicos ya han rechazado el proyecto, y por qué. Una solicitud de financiación rechazada, con un desarrollador senior que indica que la arquitectura del proyecto es defectuosa, es una prueba pública de eso. Además, es más económico que seguir intentando sin éxito.

Ese es el listado de verificaciones. La salida está indicada antes de la entrada: si algún paso no puede ser verificado de una sola vez, entonces no se trata de manejar un monedero, sino de realizar una operación de confianza. En situaciones en las que no hay información disponible, es posible saltarse estas verificaciones; ese es precisamente el momento en el que la gente tiene menos probabilidades de verificarlas, y el costo de cometer un error es mayor.

¿Dónde te deja esto?

Para los titulares de las criptomonedas, la decisión ya está tomada por la empresa: liquidación, eliminación de la lista de exchanges, plazos para retirar los fondos específicos de cada exchange, y no existe ningún programa de reembolso confirmado. Los fondos se encuentran en las cuentas de XRPL, y pueden recuperarse de forma independiente. Pero no se confirmó ninguna congelación o recuperación de los fondos en el momento de la notificación de cierre. Si usted es uno de los titulares, la pregunta importante no es si la criptomoneda puede recuperarse, sino si todavía posee una clave que también podría ser utilizada por el atacante. La respuesta es que debe cambiar a una cartera recién generada, proveniente de un software confiable, antes de tocar cualquier cosa relacionada con esa criptomoneda.

Para todos los demás, XRP Healthcare es una etiqueta de advertencia simple y obsoleta.La segunda brecha en el ecosistema XRP en 26 díasDespués de un incidente separado relacionado con Coreum-Bridge. El mecanismo que el mercado debe internalizar es que una promesa de custodia constituye una reclamación técnica, y las reclamaciones técnicas pueden ser auditadas… no son algo subjetivo. Es necesario verificar la lógica del sistema, verificar lo que la aplicación transmite, y averiguar quién dijo que no y por qué.

El plan de acción aquí se abandona en el momento en que dejas de considerar “no custodial” como una descripción, y comienzas a tratarlo como una afirmación que necesita ser comprobada en esta pantalla, esta noche. XRP Healthcare ha dedicado tres años a la comercialización de productos forward…IPO para el tercer trimestre de 2025Luego, el ecosistema de IA… Y además, BitMart anunció su salida dos meses antes de que ocurriera. La semilla nunca fue un secreto. Ese era todo el problema.