D'CENT Biometric D'CENT Biometric

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 16 set 2026 Hack / furto di fondi Critico ● aperto

   Trasferimenti non autorizzati dall'App Wallet: chiavi compromesse, fondi ancora a rischio

   Il 16/9/2026 IoTrust (D'CENT) ha comunicato di aver rilevato trasferimenti non autorizzati di asset dal D'CENT App Wallet, il wallet software dell'app, e ha chiesto agli utenti di spostare subito i fondi. Il rapporto ufficiale del 17/9 indica come criteri di esposizione: seed inserita o ripristinata nell'App Wallet, indirizzo con storico di firma (invii, approvazioni token, transazioni dApp) e firma effettuata con una versione dell'app precedente alla 8.1.0 (rilasciata il 5/11/2025), su Bitcoin, Ethereum, XRPL, TRON, reti EVM e altre. Le prime transazioni non autorizzate sono state osservate su Android, ma D'CENT dichiara che lo stesso rischio vale per iOS. L'azienda NON ha pubblicato la causa tecnica («potrebbe essere usata per attacchi identici o simili») né un totale delle perdite. Analisi on-chain di terzi, non confermate dall'azienda, danno la misura del solo XRPL: uno svuotamento automatizzato di 1.552 conti per 2.009.321 XRP fra le 16:29 e le 18:34 UTC del 15/9, e una stima successiva dell'account XRPL intel di circa 6.160 indirizzi coinvolti per circa 9,3 milioni di XRP complessivi, di cui 2 milioni ancora in wallet sotto osservazione e 7 milioni spostati verso destinazioni ignote (dato riportato il 20/9 da una sola testata, non confermato dall'azienda e non coerente con i 2.009.321 XRP ricostruiti on-chain: va letto come stima, non come totale del danno; ed è in XRP, non in dollari). Il caso è stato preso in carico dalla polizia coreana; D'CENT traccia i fondi con una società di sicurezza esterna e chiede a exchange e progetti il congelamento. ⚠️ I wallet hardware collegati all'app NON sono interessati — la chiave resta sul dispositivo — MA se la seed di un hardware wallet è mai stata inserita o ripristinata nell'App Wallet, vale lo stesso rischio. Al 21/9 l'azienda continua a chiedere pubblicamente di diffondere l'avviso per «prevenire ulteriori danni»: le chiavi esposte restano compromesse finché i fondi non vengono spostati. Aggiornamento del 24/9: una ricostruzione successiva della piattaforma di analisi XRPL.to, ripresa dalla stampa di settore, porta il conto del solo XRPL a circa 11,75 milioni di XRP prelevati da 6.678 conti in sei ondate distinte fra il 15 e il 20 settembre — intorno ai 18,7 milioni di dollari al cambio usato dalla fonte (1,59 $ per XRP). È la stima più ampia finora e assorbe le precedenti, ma resta una ricostruzione di terzi: l'azienda non l'ha confermata, non ha pubblicato un totale proprio e non ha annunciato alcun rimborso. Dal rapporto ufficiale del 17/9 non sono usciti aggiornamenti sostanziali: l'ultimo intervento pubblico di IoTrust resta l'appello del 21/9 a controllare e spostare i fondi, e la causa tecnica non è ancora stata divulgata per scelta dichiarata dell'azienda. Le ondate tracciate si fermano al 20 settembre, ma le chiavi esposte restano compromesse: chi non ha ancora cambiato seed può essere svuotato in qualsiasi momento, ed è la ragione per cui questo incidente resta segnalato come attivo.

   ↗ fonte

verificato il 24 set 2026