XRPH Wallet: seed phrase trasmesse a server remoto, 267mila XRP rubati

Il 3 settembre 2026, migliaia di wallet XRPH sono stati svuotati in una finestra di circa tre ore. Gli attaccanti hanno sottratto ~267.000 XRP e token correlati per un valore di milioni di dollari, spostando i fondi sulla rete Ethereum. La causa root, secondo le forensic findings riportate da Coin-Turk e diffuse da Tech Insider, è un design flaw nella feature di staking: la seed phrase privata, generata localmente, veniva trasmessa a un server remoto controllato dal progetto anziché restare criptata sul dispositivo dell'utente.

XRP Healthcare, sviluppatore del wallet (precedentemente noto come XRPayNet), ha confermato l'incidente il 4 settembre con un post su X e ha ordinato agli utenti di interrompere immediatamente l'uso dell'applicazione. Il breach è avvenuto a livello applicativo: il protocollo XRP Ledger non è stato compromesso.

Come una UI prometteva self-custody mentre l'architettura la svuotava

Il wallet XRPH era presentato come non-custodial: l'utente generava e conservava localmente le proprie chiavi. La feature di staking, tuttavia, introduceva un canale che invalidava questo modello. Secondo le forensic findings riportate da Coin-Turk e citate da Tech Insider, quando un utente attivava lo staking "the wallet transmitted that user's private seed phrase to a remote server instead of keeping it stored locally and encrypted".

Questo meccanismo trasformava de facto il wallet in un sistema custodial mascherato. La seed phrase — l'unico elemento che garantisce il controllo esclusivo dei fondi — veniva esposta a un single point of failure esterno. Gli utenti non avevano modo di verificare questo comportamento dall'interfaccia: la UI continuava a mostrare le convenzioni del self-custody, mentre il flusso dati sottostante centralizzava il rischio.

Il progetto non ha pubblicato codice sorgente auditabile né documentazione tecnica sulla gestione delle chiavi nello staking. L'assenza di transparency — unita alla presentazione marketing del prodotto — ha reso impossibile per gli utenti valutare il reale profilo di rischio prima di attivare la feature.

Il drain di tre ore e la fuga su Ethereum

Gli attaccanti hanno operato con velocità. Secondo Tech Insider e Coin-Turk, il drain completo dei wallet ha richiesto circa tre ore. I ~267.000 XRP sottratti sono stati "routed the stolen assets to Ethereum, a common laundering step", come riporta Tech Insider. Coin-Turk conferma che i fondi sono stati "swiftly move the stolen assets to the Ethereum network".

Il valore totale del danno non è quantificabile con precisione. Oltre agli XRP, sono stati rubati token XRPH e XRPHAI per "milioni di dollari", ma il brief non specifica la metodologia di calcolo né il prezzo di riferimento al momento dell'attacco. Il numero esatto di wallet colpiti è indicato come "migliaia", senza cifra precisa.

XRP Healthcare ha dichiarato di tracciare le transazioni on-chain e di lavorare con "relevant parties" per possibili azioni di freezing e recovery. Il dossier non specifica l'identità di queste parti né lo stato avanzamento dei tentativi.

"We are aware of multiple unauthorized transactions affecting XRPH Wallet users, involving XRPH, XRPHAI and other assets, and the significant market impact. Our development team is urgently investigating how the wallets were compromised, tracing affected transactions on-chain, and working with relevant parties regarding the possible freezing and recovery of affected assets." — XRP Healthcare, via post su X, riportato da U.Today

Tensioni con l'ecosistema Ripple e distanze pregresse

L'incidente ha riacceso un conflitto preesistente. Tech Insider riporta che "former Ripple employees had already distanced themselves from XRP Healthcare over concerns about the project's grant applications and partnership claims well before this week's hack". Il developer BiasGoose, citato da Coin-Turk e Tech Insider, ha dichiarato di aver rifiutato le grant applications del progetto con la motivazione: "didn't need a token in the first place".

XRP Healthcare ha risposto pubblicamente criticando i detrattori: "expected far more character from industry veterans", come riportano entrambe le fonti. Questa dinamica sottolinea come il problema non fosse invisibile: figure con esperienza nell'ecosistema XRPL avevano già sollevato allarmi sulle pratiche del progetto, ma le segnalazioni non hanno impedito la diffusione del wallet tra gli utenti.

Il progetto è basato in Uganda. Questo dato geografico, riportato da Tech Insider, contribuisce a delineare un'operatività lontana dai centri di governance tradizionali del settore crypto, con implicazioni sulla tracciabilità delle responsabilità.

Cosa fare adesso

Gli utenti che hanno mai utilizzato XRPH Wallet devono considerare le proprie seed phrase compromesse e migrare immediatamente i fondi — se ancora presenti — verso wallet con architettura verificabile e codice open-source auditato. La dichiarazione di XRP Healthcare del 4 settembre 2026, riportata da U.Today e BitcoinEthereumNews, è chiara: "users of the XRPH wallet have been urged to stop using it until further notice".

Per la verifica dello stato dei fondi, gli utenti possono consultare direttamente l'XRP Ledger explorer con il proprio indirizzo pubblico. XRP Healthcare ha dichiarato di tracciare le transazioni on-chain, ma il dossier non riporta strumenti ufficiali di supporto alle vittime né canali di comunicazione dedicati per il reporting individuale.

Il caso evidenzia una verifica praticabile prima dell'adozione di qualsiasi wallet "non-custodial": la disponibilità di codice sorgente auditabile e di documentazione tecnica sulla gestione delle chiavi. In assenza di questi elementi, l'etichetta di self-custody non è verificabile dall'utente.

Il limite della verificabilità utente in wallet third-party

L'incidente XRPH mette in luce una falla strutturale del settore: la promessa di self-custody è verificabile solo con audit indipendenti del codice, che la maggior parte degli utenti non effettua e non è equipaggiata per effettuare. La UI di XRPH Wallet non segnalava il trasferimento della seed phrase. L'utente medio non aveva strumenti per rilevare che la propria chiave privata lasciasse il dispositivo.

Il dossier non specifica se il server remoto sia stato compromesso esternamente, se l'accesso alle seed phrase raccolte sia stato ottenuto da insider, o se la vulnerabilità fosse nota al team prima dell'attacco. Questi elementi restano unknown: l'identità degli attaccanti, lo stato di eventuali indagini autoritarie, e il ruolo preciso delle "relevant parties" coinvolte nella recovery non sono documentati nelle fonti disponibili.

Il breach non ha toccato il layer-1 XRP Ledger. Il protocollo base mantiene la propria integrità; il danno è circoscritto all'ecosistema applicativo costruito sopra di esso. Questa distinzione è rilevante per gli utenti del Ledger principale, ma non attenua la gravità per chi aveva affidato fondi al wallet XRPH.

Perché è importante

Il caso XRPH illustra un pattern ricorrente nel settore: l'etichetta "non-custodial" applicata a prodotti che non soddisfano i requisiti architetturali della self-custody. La differenza tra custodial e non-custodial non è dichiarativa: è operativa, e dipende da dove risiede e come viene gestita la seed phrase. Se una feature di prodotto la trasmette a un server remoto, il wallet non è non-custodial indipendentemente dalla presentazione marketing.

Il dossier non documenta misure correttive specifiche adottate da XRP Healthcare dopo l'incidente, né azioni preventive che gli utenti possano autonomamente intraprendere per verificare il comportamento di altri wallet simili. La fonte non specifica la natura dei dati esposti oltre alla seed phrase stessa, né se altri wallet del progetto condividano lo stesso meccanismo di staking.

L'impatto per il settore XRPL è reputazionale e di fiducia: un progetto third-party ha centralizzato il rischio di migliaia di utenti, danneggiando la percezione di sicurezza dell'ecosistema nonostante l'integrità del protocollo base. Per gli sviluppatori, il caso rafforza la necessità di audit indipendenti delle feature critiche prima del rilascio. Per gli utenti, evidenzia che la self-custody richiede verificabilità, non solo promesse di interfaccia.

FAQ

Il protocollo XRP Ledger è stato compromesso?

No. Il breach è avvenuto a livello applicativo, nel wallet XRPH sviluppato da XRP Healthcare. Il core XRP Ledger protocol non è stato toccato, come specificato da Tech Insider.

Quanto vale realmente il danno?

La cifra certa è ~267.000 XRP. I token XRPH e XRPHAI rubati sono valutati in "milioni di dollari", ma il brief non riporta quotazione precisa né metodologia di calcolo al momento dell'attacco. U.Today e BitcoinEthereumNews notano esplicitamente che la magnitudo delle perdite e la causa reale non sono ancora accertate.

Gli utenti possono recuperare i fondi?

XRP Healthcare ha dichiarato di lavorare a tracing on-chain e a possibili azioni di freezing e recovery con "relevant parties" non specificate. Il dossier non riporta esiti confermati di questi tentativi. I fondi spostati su Ethereum hanno attraversato bridge, rendendo il recupero tecnicamente complesso.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://tech-insider.org/xrpl-wallet-breach-267k-xrp-drained-2026/
• https://en.coin-turk.com/xrpl-hack-drains-267000-xrp-sparks-public-clash-between-project-and-ripple-devs/
• https://bitcoinethereumnews.com/tech/xrpl-wallet-breach-users-urged-to-halt-use-amid-security-update/
• https://u.today/xrpl-wallet-breach-users-urged-to-halt-use-amid-security-update
• https://crypto-economy.com/xrpl-wallet-breach-sparks-urgent-warning/
• https://www.dlnews.com/articles/defi/hacker-infects-xrp-ledger-software-with-crypto-stealing-code/
• https://www.bitget.com/news/detail/12560604715330
• https://tech-insider.org/claude-fable-crypto-hack-fears-2026/