XRP Healthcare 钱包遭攻击,约4000个钱包共流出26.7万枚 XRP (XRP)

约4000个钱包三小时内被清空

XRP Ledger(XRPL)生态在2026年9月3日遭遇一起大规模安全事件:XRPL 上专注于医疗领域的项目 XRP Healthcare(前身为 XRPayNet)的移动端钱包被批量清空。链上数据显示,大约4000个用户钱包在约三个小时内余额归零,攻击者共转走约26.7万枚 XRP,以及数百万枚 XRPH 和 XRPHAI 代币。部分被盗资产随后被迅速转移至以太坊网络——这一动向再次说明,一旦资金经由跨链桥离开原生链,追回难度会成倍上升。值得强调的是,目前的调查没有任何证据指向 XRP Ledger 协议本身存在缺陷:问题出在钱包应用的架构层面,而非账本的共识机制或节点基础设施。这一区分对持币者和项目代币持有者都很关键,因为 XRP 与 XRPH 钱包本来就是两个不同层面的风险敞口。尽管如此,事件还是在整个 XRP 生态重新点燃了安全讨论,开发者和用户开始追问一个更根本的问题:构建在 XRPL 之上的自托管应用,究竟如何保管用户最敏感的那串凭证——助记词。

助记词被发往远程服务器

取证分析将漏洞源头锁定在应用设计的核心环节。XRPL.to 发布的独立链上分析发现,当用户激活质押功能时,其助记词——派生出所有钱包地址的“总钥匙”——会被发送至一台 XRP Healthcare 的服务器。同一份分析还把大部分被盗地址直接关联到 XRPH 钱包的使用记录。换句话说,多数用户默认永远不会离开设备的私钥,至少在这条流程中,实际躺在了公司侧的基础设施上。XRP Healthcare 于9月4日确认了这些未经授权的交易,并敦促用户在另行通知前不要打开应用,称开发团队正在链上追踪资金流向,同时与相关机构协调冻结并追回资产。同样重要的,是官方尚未披露的部分:服务端的数据暴露究竟属于有意收集,还是工程上的疏忽,团队至今没有给出结论。对于正在重新审视托管方式的读者,我们关于如何创建 Ripple 纸钱包的指南介绍了离线生成密钥的完整流程;安全研究人员也普遍建议,凡是密钥处理方式无法被独立验证的应用,都应尽快把资金转入硬件钱包或离线存储。关于冷存储方案的更多细节,可参考我们的冷钱包指南。

前 Ripple 开发者:警告由来已久

事件后续迅速演变为 X 平台上的公开交锋。开发者 BiasGoose 是最早发声的人之一,他表示此次钱包被清空对他而言并不意外,此前他曾拒绝过该团队的资助申请。在他看来,这个与乌干达相关的医疗项目从一开始就带着多重风险信号,包括其在资助申请中对合作关系的不实陈述——他直言这些说法是为了拿到融资、制造热度。他还补充说,这个产品根本不需要发行自己的代币,这一批评直指项目整套 代币经济模型的合理性。前 Ripple 安全人士也支持这一判断:曾任职于 Ripple 的 Hazard Cookie 与开发者 Matt Hamilton 表示,审计人员多年来一直记录着该项目的架构风险,Hamilton 还提到,早在项目还是 XRPayNet 的时期,他与团队打交道时就满是风险信号。社区成员则回忆,该项目在2022年至2024年的早前市场周期中曾被社区排挤出局,当时对其的指控与 rug pull(撤池跑路)颇为相似。面对这些质疑,XRP Healthcare 强硬回击,称这些资深人士的行为不道德,对用户损失幸灾乐祸“实在可悲”;BiasGoose 则回应说,与这款应用的创建者不同,他从来没有拿别人的钱去冒险。

协议与应用:真正的教训

链上记录是这起事件中最有分量的证据:我们审阅的取证分析显示助记词确实被发往远程服务器,这一事实独立确认了攻击路径——无论读者在 X 之争中更倾向于哪一方,这一点都不受影响。我们的判断是,这次事件应当让业内厘清一个长期被模糊的概念。XRP Ledger 的协议层安全依然完好,网络即将激活的 fixCleanup3_3_0 升级——验证人支持率已达82.86%——仍在按自身节奏推进。真正失守的,只是一个应用在密钥管理上的设计。在第三方钱包审计成为默认门槛之前,任何链上的用户都应把“助记词是否离开设备”当作检验自托管产品的底线标准——密钥离开设备的那一刻,托管权实际上已经交了出去。