Keplr Wallet hat den Google- und Apple-Login nach Berichten über unbefugte Transaktionen ausgesetzt und gewarnt, dass Nutzer, die sich über die betroffenen Social-Authentifizierungsmethoden registriert haben, betroffen sein könnten. Nach der vorläufigen Einschätzung des Unternehmens wurden Konten, die mit herkömmlichen Wiederherstellungsphrasen oder Hardware-Wallets erstellt wurden, nicht beeinträchtigt.

Der Wallet-Anbieter hat potenziell betroffene Nutzer aufgefordert, keine weiteren Gelder einzuzahlen, ihre Konten nicht erneut zu importieren oder neu zu erstellen und sich während der laufenden Untersuchung ausschließlich auf offizielle Mitteilungen zu verlassen.

Keplr warnt Nutzer von Google- und Apple-Login-Konten

In einer Sicherheitserklärung vom 6. November identifizierte Keplr Konten, die über den Google- und Apple-Login eingerichtet wurden, als die potenziell von den unbefugten Transaktionen betroffene Gruppe.

"Wenn Sie Ihr Keplr-Konto mit Google- oder Apple-Login erstellt haben, könnte Ihr Konto betroffen sein", erklärte Keplr.

Das Unternehmen gab konkrete Anweisungen heraus, die Nutzern helfen sollen, weitere Risiken zu begrenzen, während die Ermittler den Vorfall untersuchen. Inhaber potenziell betroffener Konten wurden angewiesen, keine neuen Gelder mehr in diese Wallets zu übertragen und nicht zu versuchen, die Konten über andere Dienste wiederherzustellen, erneut zu importieren oder neu zu erstellen.

Keplr warnte die Nutzer zudem davor, auf unaufgeforderte Direktnachrichten zu antworten oder Links zu folgen, die Hilfe bei der Wallet-Wiederherstellung anbieten, und verwies sie für verifizierte Sicherheitsupdates und Anweisungen an sein offizielles X-Konto.

Die Warnung gilt ausdrücklich nur für Konten, die über die betroffenen Social-Login-Methoden erstellt wurden, nicht für alle Keplr-Wallets.

Web3Auth-Infrastruktur wird untersucht

Der Unterschied zwischen den Kontenerstellungsmethoden ist bedeutsam, da Keplr unterschiedliche Ansätze für die Wallet-Authentifizierung und das Management privater Schlüssel verwendet. Laut Keplrs Sicherheitsdokumentation nutzen Konten, die über den Google-Login erstellt wurden, die Web3Auth-Technologie zur Generierung eines privaten Schlüssels anstelle einer herkömmlichen 12- oder 24-Wort-Wiederherstellungsphrase. Die Dokumentation besagt, dass der generierte private Schlüssel verschlüsselt und lokal auf dem Gerät des Nutzers gespeichert wird.

Diese Architektur spiegelt einen verbreiteten Kompromiss bei der Wallet-Einrichtung wider: Der Social-Login nimmt dem Nutzer das Management der Seed-Phrase ab, bindet die Kontoerstellung dafür jedoch an die zugrunde liegende Infrastruktur des Authentifizierungsanbieters. Da diese Infrastruktur mehrere Anwendungen gleichzeitig bedienen kann, kann sich ein Problem auf Anbieter-Ebene über eine einzelne Wallet-App hinaus erstrecken – ein zentraler Grund, warum der Vorfall sowohl Keplr als auch Web3Auth betrifft und nicht nur ein Unternehmen allein.

Keplr arbeitet mit Web3Auth an der Untersuchung der gemeldeten unbefugten Transaktionen, obwohl keines der Unternehmen die zugrunde liegende Ursache des Sicherheitsproblems öffentlich bestätigt hat. Keplrs erste Erkenntnisse deuteten darauf hin, dass Nutzer, die ihre Wallets mit Wiederherstellungsphrasen oder Hardware-Wallets eingerichtet hatten, von dem Vorfall nicht betroffen waren – eine Einschätzung, die vorläufig bleibt, solange die Untersuchung andauert.

Web3Auth setzt Embedded-Wallet-Dienst vorübergehend aus

Web3Auth erkannte das Sicherheitsproblem in einer Erklärung vom 6. November gesondert an und bestätigte, dass ein Problem seine Dienste beeinträchtigt hatte, die von bestimmten Drittanbieter-Anwendungen genutzt werden. Der Wallet-Infrastrukturanbieter teilte mit, dass er seinen Embedded-Wallet-Dienst vorübergehend ausgesetzt habe, der es Anwendungen ermöglicht, Krypto-Wallet-Funktionen direkt in ihre Plattformen zu integrieren.

Die Aussetzung ist eine separate Vorsichtsmaßnahme und unterscheidet sich von Keplrs Entscheidung, den Google- und Apple-Login zu deaktivieren.

Web3Auth ging auch auf mögliche Bedenken bezüglich MetaMask ein und erklärte, dass seine erste Untersuchung keine Hinweise auf Auswirkungen auf MetaMask-Nutzer ergeben habe.

"Nach einer ersten Untersuchung haben wir keine Hinweise darauf gefunden, dass MetaMask-Nutzer betroffen sind", erklärte Web3Auth.

Die Erklärung ließ den vollen Umfang des Vorfalls bei anderen Anwendungen, die auf der Web3Auth-Infrastruktur aufbauen, offen.

Ursache und finanzielle Auswirkungen bleiben unbestätigt

Weder Keplr noch Web3Auth haben mitgeteilt, wie die unbefugten Transaktionen stattfanden. Keines der Unternehmen hat eine Schätzung der finanziellen Verluste genannt oder angegeben, wie viele Konten möglicherweise kompromittiert wurden.

Dadurch bleibt das Ausmaß des Vorfalls unklar, einschließlich der Frage, ob die gemeldeten Aktivitäten auf eine kleine Zahl von Wallets beschränkt waren oder eine breitere Gruppe von Nutzern betrafen, die auf die betroffenen Authentifizierungsdienste setzen.

Keplr kündigte an, dass es verifizierte Ergebnisse und weitere Anweisungen über sein offizielles X-Konto veröffentlichen wird, während die Untersuchung voranschreitet. Bis weitere Informationen vorliegen, konzentriert sich die Orientierung des Unternehmens darauf, neue Einzahlungen auf potenziell betroffene Konten zu verhindern und Nutzer von nicht autorisierten Wiederherstellungsdiensten fernzuhalten. Die Details, auf die es im Verlauf der Untersuchung ankommt, sind die identifizierte Ursache, etwaige Zahlen zu betroffenen Konten oder Verlusten sowie der Zeitpunkt, zu dem Web3Auth seinen ausgesetzten Embedded-Wallet-Dienst wieder aktiviert.

Quelle: Hokanews, basierend auf Berichten von Ethan Collins für The Defiant.