$452K XRPH 월렛의 손실 현상: ‘비관리형’ 서비스가 4,011명의 사용자들에게 어떤 손실을 초래했는지

2026년 9월 3일, 누군가 약 3시간 만에 4,011개의 지갑을 탈취했습니다.총 매출은 약 452,000달러였습니다. 그 중 267,664개의 XRP, 23.2백만 개의 XRPH 토큰, 그리고 2.43백만 개의 XRPHAI가 있었습니다.도난당한 XRP는1분 만에 에테리움에서 약 445,198 DAI로 전환되었습니다.그리고 그 길은 조용히 있던 한 주소에서 끝나게 되었습니다.

그것이 바로 그 사건입니다. 다음 해에는 모든 월렛에 대한 정보를 읽는 방식을 바꿔야 하는 부분입니다. XRP Healthcare가 그 사건으로 인해 문을 닫았습니다. XRPH 월렛을 개발한 회사는 “XRP Ledger상의 첫 번째 헬스케어 플랫폼”이며, 향후 IPO나 BitMart 상장, 토큰 판매 등을 통해 자금을 조달할 예정이었습니다. 하지만 그 회사는 현재 문을 닫고 있습니다.XRPH 및 XRPHAI 토큰의 delisting을 진행합니다..

중요한 숫자는 452,000이 아닙니다. 몇몇 헤지펀드들이 그 숫자를 순식간에 바꿀 수 있습니다. 3년짜리 프로젝트를 망가뜨린 원인은 바로 그 근본적인 문제였으며, 그 근본적인 문제는 이미 몇 년 전에 해결될 수 있었어야 했습니다.

지갑이 실제로 한 일은 무엇인가요?

XRPH 월렛은 비관리형 서비스라고 광고했습니다. 이 말을 믿어서는 안 됩니다. 왜냐하면 “비관리형”이라는 것은 사실상 관리가 필요한 서비스라는 의미이기 때문입니다.오직 당신만이요.키를 잡고 있으면서, 지갑은 그 밑에서 다른 두 가지 일을 하고 있다는 것을 진실되게 약속할 수 없습니다.

드레인 이후, 회사 자체로…근본 원인 보고서에 따르면, 워렛 생성 과정에서 결함이 있었습니다. 즉, 앱이 잘못된 형식의 엔트로피 값을 XRPL 키 생성 함수에 전달한 것입니다.나쁜 엔트로피는 키 공간이 크게 줄어드는 것을 의미합니다. 이로 인해 비공개 키를 재구성하는 작업이 오프라인에서도 계산적으로 가능해집니다. 독립적인 연구자들과 회사도 나중에 이 점을 인정했습니다. 하지만 또 다른 심각한 문제가 있었습니다. 바로 ‘스테킹’ 기능입니다.사용자의 시드 문구를 XRP Healthcare의 서버로 전송되며, 그 시드는 휴대폰에 비밀리 없이 저장됩니다..

두 가지를 함께 사용하면 상황이 명확해집니다. “관리자가 없는” 워렛은, 예측 가능한 무작위성으로 키를 생성할 수 있으며, 동시에 사용자의 시드 문구를 은밀히 전송합니다. 이는 워렛이 아니라, 로고가 붙은 채권과 같습니다. 두 설명 모두 어떤 단계에서 정보가 유출되었는지에 대해서는 다른 의견을 보이지만, 공통된 점은 바로 앱의 코드가 사용자에게 노출된다는 것입니다. 둘 다 XRP Ledger 자체를 지목하지는 않습니다.

앱을 통해 지갑을 사용한 사람이라면 반드시 알아야 할 점은, 스테이킹이 전부가 아니라는 것입니다. 4,011개의 지갑 중에서 단지 1,225개만이 스테이킹된 자산을 가지고 있었습니다.10명 중 약 7명은 전혀 베팅을 하지 않았습니다.그 문제는 버그가 아니었습니다. 그건 제품의 기본적인 특성이었죠. 만약 그 워렛을 어떤 용도로 사용하든, 그 위험은 당신이 부담해야 했습니다.

그 경고들은 2023년에 공개되었습니다.

이제, 일회성 해킹과 배울 수 있는 이야기의 구분 기준이 되는 부분입니다. 리플의 전 개발자들 중 몇 명도 포함됩니다.맷 해밀턴, 벳 구스, 그리고 하저드 쿠키는 수년 전에 이러한 위험들을 주목했다고 합니다.베트 구스는 직설적이었다. 그는…XRP Healthcare의 지원 신청이 부정적인 평가를 받았는데, 그 이유는 허위적인 파트너십 주장과 성능이 불량한 기술 구조 때문이었습니다. 또한 그는 왜 별도의 토큰이 필요한지에 대해 의문을 제기했습니다.전혀 그렇지 않아요. 회사는 그 비판을 무시했죠.“정말 한심한 상황이야.”그리고 관리진은 해킹이 공개된 후에야 씨앗 전송 문제에 대해 알게 되었다고 주장했으며, 기술적인 부분에 대해서는 아무런 답변도 하지 않았습니다.

이제 멈추고, 자신의 프로세스에 ‘오늘 밤 테스트’를 적용할 때입니다. 어떤 토큰 프로젝트에 돈을 투자하기 전에, 당신의 시드를 보관한다고 주장하는 월렛이 실제로 당신의 시드를 가지고 있는지 확인할 수 있을까요? 이 검증은 구체적이고 명확합니다.

1. 소스 코드를 열어보세요.비보안화된 워치는 오픈소스여야 하며, 설치된 빌드도 공개된 저장소와 일치해야 합니다. 만약 저장소가 없거나, 주소가 폐쇄된 형태라면 “비보안화된”이라는 표현은 신뢰할 수 없습니다. 그러므로 이를 마케팅용 용어로 바꿔야 합니다.
2. 키스펙 요청을 확인해 주세요.씨앗이 어떻게 생성되는지 알아보세요. 엔트로피를 표준 라이브러리로 변환하는 앱은 일반적입니다. 하지만 직접 무작위성을 생성하거나, 그 내용을 확인할 수 없는 앱은 피해야 합니다.
3. 시청망의 행동을 관찰하세요.앱에 있는 어떤 기능이 당신의 시드와 관련된 것인가요? 서버로 귀하의 코드를 전송하는 스테이킹 기능은 자체 보관 방식으로 작동합니다. 만약 그 기능이 기기 내에 남아 있다는 것을 확인할 수 없다면, 돈을 다른 곳으로 옮기세요.
4. 이전의 거절 사항을 찾아보세요.기술 검토자들이 이미 이 프로젝트를 거부했는지, 그리고 그 이유가 무엇인지 알아보세요. 구체적인 개발자가 아키텍처에 문제가 있다고 지적한 거절된 보조금 신청서는 공개된 정보이며, 그렇게 하는 것이 비용을 절약하는 방법입니다.

그것이 체크리스트입니다. 출구는 들어가기 전에 미리 적혀 있습니다. 만약 어떤 단계도 한 번에 확인할 수 없다면, 그건 진짜 월렛을 운용하는 것이 아니라, 단순한 신뢰만을 바라는 것에 불과합니다. 아무런 확인도 하지 않는 경우도 있습니다. 그럴 때는 사람들이 체크를 하지 않을 가능성이 높고, 잘못된 경우의 비용도 가장 크게 됩니다.

이것이 당신을 어디로 이끄는지

보유자에게는 회사가 이미 결정을 내렸습니다. 즉, 자산의 청산, 코인의 시장에서의 퇴출, 거래소별로 정해진 수령 마감일 등이 있습니다. 그리고 어떠한 보상 프로그램도 없습니다. 자산은 XRPL 계정에 저장되어 있어서 독립적으로 회수될 수 있지만, 서비스 중단 공지가 나온 당시에는 자산이 동결되거나 회수된다는 사실은 확인되지 않았습니다. 만약 여러분이 그런 상황이라면, 중요한 문제는 코인이 회수될 수 있는지가 아니라, 공격자가 가질 수 있는 열쇠를 여전히 가지고 있는지입니다. 그러므로 신뢰할 수 있는 소프트웨어를 사용하여 새로 생성된 월렛으로 자산을 이동시키는 것이 중요합니다.

다른 모든 경우에 있어서, XRP Healthcare는 단순한, 구식의 경고 표시일 뿐입니다.26일 만에 두 번째 XRP 생태계 침해 사건별개의 코렘-브리지 사고가 발생한 이후로, 시장이 내면화해야 할 메커니즘은 다음과 같습니다. custody 약속은 기술적 요구사항이며, 기술적 요구사항은 감시할 수 있는 것입니다. 그저 느낌에 따른 것이 아닙니다. 시드 로직을 확인하고, 앱이 전송하는 내용을 확인하며, 누가 거절했는지와 그 이유도 확인해야 합니다.

이 경우의 전략은 “관리되지 않는”이라는 개념을 더 이상 생각하지 않고, 오늘 밤에는 그 사실을 증명해야 하는 것으로 받아들이는 순간부터 사라진다. XRP Healthcare는 3년 동안 전방 마케팅을 진행했다.2025년 3분기까지 IPO 예정그 다음으로는 AI 생태계가 있었고, 그 후에는 비트마트가 2개월 전에 상장을 했습니다. 그 씨앗은 결코 비밀이 아니었습니다. 그게 바로 문제였죠.