Incidente de seguridad en DCENT App Wallet: qué usuarios deben actuar y cómo proteger sus activos

🔐 Si usaste DCENT App Wallet y firmaste transacciones con una versión anterior a v8.1.0, actúa ahora. La versión 8.1.0 fue publicada el 5 de noviembre de 2025. DCENT indica que ese grupo debe migrar sus activos a una billetera con una frase de recuperación completamente nueva. Si no estás seguro de la fecha de instalación, de la versión o de si firmaste transacciones, considérate potencialmente afectado hasta completar la migración.

Este alcance se refiere al modo de software, App Wallet, y no equivale a una alerta general para todos los dispositivos de hardware DCENT. Sin embargo, la distinción solo protege si las frases de recuperación permanecieron separadas. Una semilla creada o usada en el hardware que también fue introducida en App Wallet deja de estar aislada y exige la misma respuesta preventiva.

Qué hacer, en este orden

No basta con actualizar una aplicación y conservar la frase de recuperación anterior. Si esa frase pudo estar expuesta, las claves derivadas de ella también podrían estarlo. La migración debe reemplazar la raíz criptográfica de la billetera.

1. Confirma que tienes una copia segura de tu respaldo actual. Verifica que puedes leer la frase sin cargarla en sitios web, formularios, extensiones ni mensajes directos.
2. Actualiza la aplicación desde el canal oficial a la versión 10.0.0 o posterior. No sigas enlaces de anuncios, cuentas impersonadas o supuestos equipos de soporte.
3. Genera una frase de recuperación completamente nueva. No reutilices la frase anterior ni una cuenta derivada de ella.
4. Haz una transferencia de prueba. Confirma que puedes recibir y enviar un importe pequeño con la nueva billetera antes de mover el saldo completo.
5. Mueve todos los activos a la nueva billetera. Revisa redes, tokens, NFTs y cuentas secundarias que dependan de la frase anterior.
6. Retira de uso la frase antigua. No la vuelvas a importar en App Wallet, otro software o un dispositivo nuevo.

La guía general de preguntas frecuentes de DCENT recomienda la migración cuando hubo exposición a App Wallet o cuando una frase de recuperación fue compartida entre App Wallet y una billetera de hardware. El objetivo es eliminar la dependencia de una semilla cuyo nivel de exposición ya no puede considerarse aceptable.

App Wallet y hardware wallet no son lo mismo

Una billetera de hardware busca mantener la semilla y la firma de transacciones dentro del dispositivo. App Wallet funciona como una billetera de software en el teléfono. Son modelos de amenaza diferentes y no deben agruparse bajo una sola etiqueta de producto.

Según la delimitación publicada por DCENT, los usuarios que usaron únicamente el hardware no están actualmente dentro del alcance si la frase de recuperación del hardware nunca se introdujo en App Wallet. Esa condición es crítica. Compartir una misma semilla entre el modo hardware y el modo software destruye la separación que reduce el impacto de un incidente en la capa de aplicación.

Para equipos que custodian fondos, esta es una lección operativa clara: no reutilizar frases de recuperación entre entornos con perfiles de riesgo distintos. La conveniencia de tener una sola copia de respaldo no compensa el aumento del radio de impacto.

Lo confirmado, lo reportado y lo que sigue abierto

DCENT publicó instrucciones generales de migración y, en una guía complementaria, especificó que la acción es necesaria para quienes usaron App Wallet en versiones anteriores a v8.1.0 y firmaron transacciones. La versión 8.1.0 fue publicada el 5 de noviembre de 2025. También comunicó públicamente actualizaciones sobre el incidente. Estos son hechos verificables en sus comunicaciones oficiales.

Las pérdidas y el número de afectados, en cambio, requieren otra etiqueta. ZDNet Korea informó aproximadamente 20 reportes de daño y cerca de US$110.000, mayormente en XRP. Es una cifra atribuida a ese medio, no una contabilidad definitiva confirmada por DCENT.

Por separado, XRPL.to afirmó haber identificado 1.552 billeteras y 2.009.321 XRP vinculados a un drenaje. Esa es una atribución independiente y no confirmada. La evidencia del ledger puede mostrar movimientos entre direcciones, pero no puede probar por sí sola cómo se obtuvieron las claves privadas ni que cada dirección perteneciera a un usuario de DCENT. Convertir agrupaciones on-chain en una lista definitiva de víctimas sería una conclusión que los datos disponibles no sostienen.

DCENT no ha confirmado una causa raíz ni pérdidas definitivas. Tampoco corresponde presentar una hipótesis técnica como si cerrara la investigación. En incidentes de custodia, la disciplina de atribución importa tanto como la velocidad de la respuesta.

Hipótesis técnica: por qué la superficie de firma merece revisión

XRPL.to publicó una revisión estática de App Wallet 9.2.1 y señaló una interfaz web remota, ausencia de comprobaciones de origen, riesgo de firma a ciegas, un motor remoto sin firma y falta de certificate pinning. Estas observaciones describen una posible superficie de riesgo: si un componente remoto o el flujo de aprobación no ofrece autenticidad, origen y contexto suficiente, un usuario puede autorizar una operación sin poder verificar de forma fiable qué está firmando.

Pero esta revisión no prueba la causa del incidente. Tampoco analizó la versión actual v10.0.0. Una evaluación estática de una versión concreta no demuestra explotación, compromiso de infraestructura, extracción de claves ni relación causal con todas las transferencias observadas. Para confirmar cualquiera de esos puntos harían falta evidencias forenses, telemetría verificable y una declaración técnica del proveedor.

La lección general sí es aplicable a cualquier billetera: los flujos de firma deben mostrar red, destinatario, activo, importe y consecuencias de la aprobación de forma verificable. Los equipos de producto deben reducir dependencias remotas no autenticadas y separar la generación, almacenamiento y uso de claves según el modelo de amenaza.

Conclusión

La prioridad no es especular sobre el vector, sino reducir exposición. Si entras en el alcance de DCENT, o no puedes demostrar que quedas fuera, respalda tu información, actualiza desde el canal oficial, crea una frase nueva, prueba la nueva billetera y migra todos los activos. Nunca escribas una seed phrase en una web ni la envíes por mensajes directos, aunque el interlocutor afirme ser soporte.

En Seclat ayudamos a equipos Web3 a revisar superficies de firma, custodia, integraciones de frontend y flujos que pueden convertir una aprobación normal en una pérdida de fondos. Si tu producto administra claves, autoriza transacciones o integra componentes remotos, una revisión de seguridad debe incluir estos límites antes de que un incidente obligue a hacerlo bajo presión.

Fuentes

• DCENT, FAQ sobre la acción requerida para App Wallet
• DCENT, cómo comprobar si la acción para App Wallet aplica al usuario
• DCENT, cómo mover activos desde DCENT App Wallet
• DCENT Wallets, actualización pública en X
• Yonhap News Agency, reporte sobre el incidente
• ZDNet Korea, reporte de pérdidas y denuncias
• XRPL.to, revisión de firma a ciegas de DCENT App Wallet
• XRPL.to, cronología atribuida de drenajes