19.09.2026

D'CENT App Wallet: 1 552 кошелька опустошены за 2 часа. Сид-фразы считаются скомпрометированными

15 сентября, 16:29 UTC. Скрипт начинает выносить кошельки пользователей приложения D'CENT — корейского производителя аппаратных кошельков. Первая волна спотыкается: 72 ошибки, скрипт неверно считает резерв под trust-line в XRPL. Пока его чинят, 12 самых жирных кошельков (42 000+ XRP каждый) выносят вручную — переводы каждые 10–30 секунд. В 17:17 скрипт возвращается исправленным и за час с небольшим проходит ещё 1 336 кошельков, ≈17 аккаунтов в минуту. 18:34 — финиш.

Итог по XRPL: 2 009 321 XRP (≈$2,8 млн). Общая оценка ущерба по всем сетям (BTC, ETH, TRON, EVM) — ≈$6,6 млн (SlowMist).

Три вещи, которые важнее суммы:

• Список жертв был готов заранее. Кошельки шли по дате создания (корреляция 0,65), а не по балансу (0,09). Большинство — 2021–2023 годов. Это не перебор наугад, а утечка данных из приложения.
• Аппаратный кошелёк не спас. D'CENT пишет прямо: если фраза от аппаратного кошелька хоть раз вводилась в App Wallet версии ниже 8.1.0 — она скомпрометирована. Android и iOS. Сети: BTC, ETH, XRPL, TRON, все EVM, USDT ERC20/TRC20, NFT, стейкинг, approvals.
• 90% украденного ещё не выведено. К 17.09 на биржи и мосты дошло ≈236 000 XRP (Binance с 20:18 UTC, мост Bridgers — 118 400 XRP за 10 транзакций). 1,8 млн XRP лежат на адресах атакующих. Хаб отмыва до этого уже прогонял 1,36 млн XRP — это конвейер, а не разовая акция. D'CENT попросил биржи замораживать подозрительные депозиты.

Что делать, если у вас D'CENT App Wallet:

• обновить приложение только из App Store / Google Play;
• создать кошелёк с НОВОЙ сид-фразой;
• перевести всё: монеты, токены, NFT, снять стейкинг, отозвать approvals;
• старые адреса не использовать никогда.

И одна вещь для всех остальных. Заморозки уже начались, а обмен идёт через свежие «одноразовые» кошельки. Если на этой неделе вам пришёл XRP или USDT от незнакомого адреса — не гоните его на биржу сразу. Сначала проверьте отправителя: депозит, связанный с адресами атаки, биржа заморозит, а объяснять происхождение будете вы.

Проверить адрес → https://t.me/amlconsensus_bot?start=ru (первая проверка бесплатна)

Источники: отчёт D'CENT об инциденте 16.09.2026, трассировка XRP Forensics / TheCryptoBasic 17.09, SlowMist.