D'CENT Biometric

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 16 set 2026 Hack / furto di fondi Critico ● aperto

   Trasferimenti non autorizzati dall'App Wallet: chiavi compromesse, fondi ancora a rischio

   Il 16/9/2026 IoTrust (D'CENT) ha comunicato di aver rilevato trasferimenti non autorizzati di asset dal D'CENT App Wallet, il wallet software dell'app, e ha chiesto agli utenti di spostare subito i fondi. Il rapporto ufficiale del 17/9 indica come criteri di esposizione: seed inserita o ripristinata nell'App Wallet, indirizzo con storico di firma (invii, approvazioni token, transazioni dApp) e firma effettuata con una versione dell'app precedente alla 8.1.0 (rilasciata il 5/11/2025), su Bitcoin, Ethereum, XRPL, TRON, reti EVM e altre. Le prime transazioni non autorizzate sono state osservate su Android, ma D'CENT dichiara che lo stesso rischio vale per iOS. L'azienda NON ha pubblicato la causa tecnica («potrebbe essere usata per attacchi identici o simili») né un totale delle perdite. Analisi on-chain di terzi, non confermate dall'azienda, danno la misura del solo XRPL: uno svuotamento automatizzato di 1.552 conti per 2.009.321 XRP fra le 16:29 e le 18:34 UTC del 15/9, e una stima successiva dell'account XRPL intel di circa 6.160 indirizzi coinvolti per circa 9,3 milioni di XRP complessivi, di cui 2 milioni ancora in wallet sotto osservazione e 7 milioni spostati verso destinazioni ignote (dato riportato il 20/9 da una sola testata, non confermato dall'azienda e non coerente con i 2.009.321 XRP ricostruiti on-chain: va letto come stima, non come totale del danno; ed è in XRP, non in dollari). Il caso è stato preso in carico dalla polizia coreana; D'CENT traccia i fondi con una società di sicurezza esterna e chiede a exchange e progetti il congelamento. ⚠️ I wallet hardware collegati all'app NON sono interessati — la chiave resta sul dispositivo — MA se la seed di un hardware wallet è mai stata inserita o ripristinata nell'App Wallet, vale lo stesso rischio. Al 21/9 l'azienda continua a chiedere pubblicamente di diffondere l'avviso per «prevenire ulteriori danni»: le chiavi esposte restano compromesse finché i fondi non vengono spostati. Aggiornamento del 24/9: una ricostruzione successiva della piattaforma di analisi XRPL.to, ripresa dalla stampa di settore, porta il conto del solo XRPL a circa 11,75 milioni di XRP prelevati da 6.678 conti in sei ondate distinte fra il 15 e il 20 settembre — intorno ai 18,7 milioni di dollari al cambio usato dalla fonte (1,59 $ per XRP). È la stima più ampia finora e assorbe le precedenti, ma resta una ricostruzione di terzi: l'azienda non l'ha confermata, non ha pubblicato un totale proprio e non ha annunciato alcun rimborso. Aggiornamento del 30/9 — l'azienda è tornata a parlare e le cifre sono cresciute. Il 26/9 IoTrust ha pubblicato la prima dichiarazione sostanziale dopo il rapporto del 17/9 (x.com/DCENTWALLETS/status/2103692076219322824, ore 05:44): dice di non aver «individuato prove che indichino che l'incidente sia originato dai wallet hardware DCENT» — resta però valido l'avvertimento per chi ha inserito o ripristinato nell'App Wallet la seed di un dispositivo hardware — e di collaborare con le forze dell'ordine, specialisti di sicurezza esterni, progetti blockchain ed exchange per tracciare gli asset. Su rimborsi e recuperi la formula ufficiale è netta e va letta per quello che dice: «qualunque congelamento o recupero degli asset dipende interamente dalle autorità competenti e da terze parti e non può essere garantito». Nessun piano di indennizzo, né il 26/9 né nella FAQ ufficiale, che si limita a chiedere l'aggiornamento dell'app alla versione 10.0.0 o successiva e a ripetere che DCENT non chiederà mai di inviare asset per un «recupero» o un «risarcimento». Sul fronte delle cifre, una ricostruzione più ampia ripresa il 28/9 da Protos e da Crypto Briefing porta il totale del solo XRPL a circa 12,4 milioni di XRP prelevati da 7.393 conti in una finestra di dieci giorni, dal 15 al 25 settembre — non più sei ondate ferme al 20. Assorbe la stima precedente (11,7 milioni da 6.678 conti fra il 15 e il 20) e vi aggiunge il dato che pesa di più: altri 640.370 XRP sono stati portati via DOPO l'appello pubblico del 21 settembre, cioè dopo che gli utenti erano stati avvisati. La prima ondata del 15/9 ha svuotato 1.682 conti per 3,6 milioni di XRP in meno di tre ore, cominciando a mano dai saldi grossi e passando poi a script per scendere sui piccoli; 6.095 conti risultano cancellati. Del bottino, circa 6,3 milioni di XRP — poco più della metà — sono stati convertiti in ether tramite THORChain, protocollo di scambio cross-chain che non richiede identificazione, e da lì indirizzati verso exchange centralizzati fra cui Binance; al 25/9 restavano circa 1,4 milioni di XRP sugli indirizzi dell'attaccante. In dollari le fonti danno fra i 18 e i 20 milioni, con cambi diversi: l'importo resta deliberatamente non dichiarato in scheda, perché quelle cifre coprono il solo XRPL, dipendono dal cambio scelto e l'azienda non ha mai pubblicato un totale proprio. E l'incidente non è più un fatto XRPL. Il perimetro dichiarato dall'azienda comprendeva Bitcoin, Ethereum, XRPL, TRON e reti EVM, ma ora le perdite verificate fuori da XRPL ci sono: IoTrust ha reso noto di aver ricevuto almeno 110 segnalazioni di trasferimenti anomali che includono asset non-XRP (dato riferito al 18/9, riportato da ZDNet Korea), e la stampa documenta perdite confermate su Bitcoin e almeno un caso su Stellar. Nessuna ripartizione per catena è stata pubblicata: la dimensione del danno fuori da XRPL non è quantificata da nessuno, ed è il buco più grosso che resta. La causa tecnica non è stata divulgata per scelta dichiarata dell'azienda; alcuni ricercatori indicano una debolezza nella generazione casuale delle chiavi nelle versioni più vecchie dell'app, ipotesi che IoTrust non ha confermato. Le ondate tracciate arrivano al 25 settembre e le chiavi esposte restano compromesse: chi non ha ancora cambiato seed può essere svuotato in qualsiasi momento, ed è la ragione per cui questo incidente resta segnalato come attivo.

   ↗ fonte

verificato il 30 set 2026