XRPレジャー上のプロジェクト「XRP Healthcare」が提供する公式ウォレット「XRPH Wallet」で、9月3日から大規模な資産流出が発生した。約267,000XRP（関連トークン含め約6,700万円相当）が4,011件のウォレットから引き出され、XRP Healthcareは全ユーザーに対しウォレットの利用停止を呼びかけている。
【続報・2026年10月2日更新】原因の判明と事業の終了
- 原因：XRP Healthcareは9月9日（日本時間）、開発チームの調査報告で、XRPH Walletがウォレットの鍵（秘密鍵）を作る処理に欠陥があったと公表しました。独立系の調査者が指摘していた「ステーキング機能」は、運営の報告では原因とされていません
- 事業の終了：XRP Healthcareは9月10日、会社の通常業務を終えると発表。XRPHとXRPHAIは、取引所と調整して上場廃止にするとしています
- 補償：9月10日の発表にも補償の言及はなく、10月2日時点で当サイトは補償の発表を確認できていません
- やること：XRPH Walletで作ったウォレットは使わない。XRPH・XRPHAIを取引所に持っている人は、その取引所の上場廃止のお知らせで出金の期限を確認する
何が起きたのか
XRP Healthcareによると、9月3日以降、4,011件のXRPH Walletアカウントで不正な取引が確認され、約267,664XRPと約2,320万XRPHトークン（合計時価約45万2,000ドル、約6,700万円）が引き出された。攻撃者はわずか3時間で資金を引き出し、盗んだ資産をイーサリアムネットワークに移動させたため、回収は難航している。追跡の結果、盗難資産は約445,198DAIに変換され、特定のウォレットに保管されていることが分かっている。
原因は？ウォレットの鍵を作る処理の欠陥と運営が公表
XRP Healthcareは2026年9月9日（日本時間）、XRPH Walletが新しいウォレットを作るときの「鍵の生成」に欠陥があり、攻撃者が秘密鍵を計算で割り出せる状態だったと公表しました。開発チームの技術報告で、欠陥を再現して確かめたとしています（XRP Healthcare公式Xの投稿、運営の技術報告書（PDF・英語））。
技術報告書と、その中身を伝えたCryptoSlateによると、欠陥は次のようなものでした。
- XRPレジャーの鍵を作る関数に、本来は乱数のデータそのものを渡すべきところ、55文字の文字列を渡していた
- そのうち実際に使われたのは先頭の16文字だけで、鍵の候補は本来の「2の128乗」から、約2の46乗（約72.9兆通り）にまで減っていた
- 乱数の一部に、暗号には向かないJavaScriptの
Math.random()も使われていた - この欠陥は2023年6月13日にアプリのコードに入っていた（技術報告書、CoinStatsの報道）
2の128乗は、すべて試すことが事実上できない数です。一方、約72.9兆通りなら、コンピューターで総当たりできる範囲に入ります。攻撃者は利用者のスマホに侵入しなくても、候補の鍵を順に作り、残高のあるウォレットを探し当てられたことになります。9月3〜4日に4,011件がまとめて抜かれたのは、この仕組みで説明がつくと運営は報告しています。
事件の直後、独立系の調査者は「ステーキング機能を有効にするとシードフレーズが外部のサーバーに送られていた」可能性を指摘していました。運営の報告が原因としたのは鍵の生成の欠陥で、シードフレーズの送信については運営は認めていません。CoinStatsも、この指摘は第三者による分析で、運営が確認したものではないとしています。
今回の欠陥は、XRPH Walletというアプリの鍵の作り方の問題で、XRP Ledger（XRPレジャー）そのものの欠陥ではありません。XRP Ledger本体については、2026年10月9日に「存在しないXRPを作れる」バグが公表されましたが、9月25日の修正版 xrpld 3.4.1 で直されていて、公式は公開ネットワークで悪用された証拠は見つかっていないとしています（XRPL公式の報告書、2026年10月17日確認）。XRPを持っている人に影響があるかは「XRPの脆弱性は大丈夫？」で整理しています。2026年10月18日には、Qubic（QUBIC）でも乱数の弱いシードが狙われ、1,404件のウォレットから資金が抜かれました（Qubicの流出：自分は対象？送金と補償）。
XRP Healthcareの対応とコミュニティの反応
XRP Healthcareは全ユーザーにXRPH Walletの使用中止を呼びかけるとともに、盗難資産の追跡や、関係する取引所への資金凍結の依頼など回復に向けた対応を進めていると説明している。
一方で、元Rippleの開発者を含む複数の人物が公然とXRP Healthcareを批判しており、「以前から危険信号（レッドフラッグ）は明らかだった」「過去の審査で未公表のリスクが指摘されていた」といった指摘が出ている。XRP Healthcare側はこうした批判に対し、「他チームの損失を祝っている」と反発しており、コミュニティ内の対立が公になっている状況だ。
XRP Healthcareはどうなった？事業の終了とXRPH・XRPHAIの上場廃止
XRP Healthcareは2026年9月10日、会社の通常業務を終える（ワインドダウン）と発表しました。理由として、長い弱気相場の中での開発への投資、2年かけた株式の上場手続きが実らなかったことに加え、9月3日のウォレットの事件で財務と運営の負担が増えたことを挙げています（XRP Healthcare公式Xの発表）。
- XRPHとXRPHAIは、取引所と調整して上場廃止にする。出金の方法と期限は、それぞれの取引所が決めて告知する
- XRPH Walletのアプリはオフラインのまま
- 事件については、資金の回収、取引所・当局への協力、記録の保全、重要な進展の報告を続ける
- 知的財産と商標は、事業の終了とは切り離して持ち続ける
発表には、被害額の補償についての言及がありません。盗まれた資金は約445,198DAIとしてイーサリアム上の1つのアドレスに残っていると運営は説明していますが（9月6日）、回収は保証できないとしています（9月4日）。
市場の様子も変わりました。CoinGeckoでは、XRPHの価格は9月18日、XRPHAIは9月13日（いずれも日本時間）を最後に更新されておらず、取引所の取引ペアも表示されていません（2026年10月2日18時確認）。
事件の経過（日本時間）
| 日付 | 出来事 |
|---|---|
| 9月3〜4日 | 4,011件のウォレットから、約267,664XRP・約2,320万XRPH・約243万XRPHAIが引き出される |
| 9月4日 | 運営がウォレットの使用中止を呼びかけ。同日夜、被害は約4,011件・約45.2万ドルで、XRPレジャー自体の欠陥ではないと説明 |
| 9月6日 | 盗まれた資金（約445,198DAI）が残るアドレスを公表し、被害者にEtherscanでの報告を呼びかけ |
| 9月9日 | 原因の技術報告を公表（鍵の生成の欠陥） |
| 9月10日 | 通常業務の終了と、XRPH・XRPHAIの上場廃止の方針を発表 |
出典：XRP Healthcare公式X（2026年9月4日・6日・9日・10日の投稿、時刻を日本時間に換算）、XRP Healthcare「XRPH Wallet Root-Cause Technical Report – Developer Findings」、CryptoSlate（2026年9月11日）、crypto.news（2026年9月7日）。2026年10月2日確認。
現時点で分かっていないこと（2026年10月2日時点）
- 被害者への補償があるかどうか（9月10日の発表に言及なし）
- 盗まれた資金（約445,198DAI）が凍結・回収されるかどうか
- XRPH・XRPHAIを扱う各取引所での、出金の期限
- シードフレーズが外部のサーバーに送られていたという第三者の指摘が、事実かどうか
ウォレット利用者が今すぐ確認すべきこと
- XRPH Walletで作ったウォレット（鍵）は、まだ資産が残っていても安全ではない。運営も、その鍵は使わず、新しく作った鍵のウォレットへ残りの資産を移すよう案内している。移したあと、古いシードフレーズは二度と使わない
- 鍵の作り方のような見えない部分に欠陥があっても、利用者には気づけない。小さなプロジェクトの独自ウォレットに大きな金額を置かず、利用者の多い実績のあるウォレットやハードウェアウォレットで管理する。XRPH・XRPHAIを取引所に持っている人は、その取引所の上場廃止のお知らせで出金の期限を確認する
- 本来、正規のノンカストディアル（自己管理型）ウォレットであれば、シードフレーズが自分の端末の外に送信されることはない。この原則から外れる挙動に気づいたら、そのアプリの利用を見直す
- 「返金する」「資産を保護する」等の名目で、シードフレーズや秘密鍵の入力を求める連絡には応じない。今回のような騒動に便乗したフィッシング詐欺が発生しやすい局面でもある
- 特定の1つのウォレット・アプリに資産を集中させず、複数のウォレットに分散させておくことが、こうした局面での被害を最小化する
まとめ：XRPH Walletから約267,000XRP（約6,700万円相当）が流出し、4,011件のウォレットが被害を受けた。運営の調査で、原因はウォレットの鍵を作る処理の欠陥（鍵の候補が約2の46乗まで減っていた）と分かり、XRP Healthcareは9月10日に通常業務の終了とXRPH・XRPHAIの上場廃止の方針を発表した。補償の発表はない（10月2日時点）。XRPH Walletで作った鍵は使わず、残った資産は新しく作ったウォレットへ移し、取引所にXRPH・XRPHAIを持っている人は出金の期限を確かめたい。続報があれば本記事を更新する。
