Web3Auth erklärt, es habe rund 5,6 Millionen US-Dollar in Nutzer Vermögenswerten aus Keplr-Wallets transferiert, bevor Angreifer sie abfließen konnten, und gibt an, eine Schwachstelle in der von ihm betriebenen Wallet-Schlüssel-Infrastruktur erkannt und vorsorglich gehandelt zu haben, um Nutzer-Gelder zu schützen. Die Darstellung des Unternehmens ist nicht unabhängig überprüft, und zum Zeitpunkt der Verfassung dieses Artikels wurde weder ein technischer Postmortem noch eine On-Chain-Bestätigung veröffentlicht.

Was Web3Auth sagt, dass geschehen ist

Laut Berichterstattung von The Block erkannte Web3Auth eine Schwachstelle, die Keplr-Wallets betraf, die auf seine Schlüssel-Infrastruktur angewiesen waren, und transferierte anschließend rund 5,6 Millionen US-Dollar in Nutzer Vermögenswerten, bevor ein Angreifer handeln konnte. Das Unternehmen bezeichnete den Vorgang als Front-Running eines potenziellen Exploits – ein Begriff aus den MEV-Mechaniken (maximal extractable value), der bedeutet, einen Gegner bei der Ausführung einer Transaktion zu überholen. In diesem Kontext zeigt der Begriff an, dass Web3Auth seine Transfers vor jeder gegnerischen Transaktion ausführte, anstatt nach einem Diebstahl Gelder zurückzuholen.

Web3Auth, früher als Torus bekannt, stellt Social-Login- und Schlüsselverwaltungs-Infrastruktur für eine Reihe von Web3-Anwendungen bereit; die offizielle Website ist web3auth.io. Keplr ist eine Browser-Erweiterungs-Wallet, entwickelt von Chainapsis, die hauptsächlich zur Interaktion mit Chains des Cosmos-Ökosystems verwendet wird, darunter der Cosmos Hub und andere auf Cosmos SDK basierende Netzwerke. Die Beziehung zwischen den beiden Produkten bedeutet, dass ein Fehler bei der Schlüsselableitung oder Verw auf Seiten von Web3Auth Keplr-Nutzer betreffen könnte, die sich über Social Login statt über selbst verwaltete Seed-Phrases authentifizieren.

Die berichtete Maßnahme nach Angaben des Unternehmens

Web3Auth behauptet, eine Schutzmaßnahme durchgeführt und die gesamten 5,6 Millionen US-Dollar über die betroffenen Wallets transferiert zu haben, um Verluste zu verhindern. Die Zahl der beteiligten Wallets, die spezifisch betroffenen Chains, die Zieladressen der transferierten Gelder, ob Nutzer im Voraus benachrichtigt wurden und der Zeitpunkt der Maßnahme im Verhältnis zu etwaigen Aktivitäten von Angreifern sind in der verfügbaren Berichterstattung nicht bestätigt.

Es wurden keine Block-Explorer-Daten verknüpft, die das Ausmaß oder das Ziel der Transfers belegen. Ohne Transaktions-Hashes oder Wallet-Adressen ist eine unabhängige Überprüfung der 5,6-Millionen-Dollar-Zahl und des aktuellen Verbleibs der Gelder allein anhand öffentlicher Berichterstattung nicht möglich.

Warum ein vorsorglicher Fondstransfer ein wesentliches Risikoereignis ist

Wenn ein Wallet-Anbieter Nutzer-Gelder ohne nutzerinitiierte Transaktionen bewegt, wirft dies unmittelbare Fragen zum verwendeten Custody-Modell auf. Wenn Web3Auth private Schlüssel unilateral besaß oder rekonstruieren konnte, ist dies bei Social-Login-Wallet-Architekturen beabsichtigt, bedeutet aber auch, dass der Anbieter Signaturbefugnisse hält, die Nutzer möglicherweise nicht vollständig verstanden haben. Solche Architekturen, die häufig mit Multi-Party Computation (MPC) aufgebaut sind, um Schlüsselmaterial in Anteile zu zerlegen, die von getrennten Parteien gehalten werden, sind so konzipiert, dass keine einzelne Partei – weder Nutzer noch Anbieter – den vollständigen privaten Schlüssel allein besitzt; die praktische Verwahrung hängt daher davon ab, wie Schlüsselanteile verteilt und rekonstruiert werden.

Der DeFi-Stack setzt zunehmend auf Wallet-Abstraktionsschichten, Social Recovery und Schlüsselverwaltungsdienste, um Einstiegshürden zu senken. Diese Design-Kompromisse sind legitim, aber Vorfälle wie dieser verdeutlichen die tatsächliche Vertrauensfläche: Nutzer von Non-Custodial-Wallets, die von Schlüssel-Infrastruktur Dritter abhängen, sind der Sicherheitslage und den operativen Entscheidungen dieses Anbieters ausgesetzt – auf eine andere Weise als bei reiner Self-Custody, bei der eine einzelne Seed-Phrase ausschließlich in der Kontrolle des Inhabers bleibt. Dieser Kompromiss ist nicht theoretisch: Infrastrukturausfälle auf Wallet-Ebene haben in der Branche Präzedenzfälle, darunter die Slope-Wallet-Verletzung 2022, bei der Seed-Phrases von Nutzern von einem zentralisierten Logging-Dienst erfasst wurden, und die Kompromittierung der JavaScript-Bibliothek Ledger Connect Kit 2023, die schädlichen Code an Wallets auslieferte, die mit betroffenen Front interagierten.

Berichtetes Risiko gegenüber bestätigtem Verlust

Die Darstellung von Web3Auth legt nahe, dass die Gelder gefährdet, aber nicht verloren waren. Dieser Unterschied ist für die Bewertung des Protokollrisikos wichtig. Wenn das Unternehmen einen Angreifer erfolgreich überholt hat und alle 5,6 Millionen US-Dollar weiterhin von den Nutzern abrufbar sind, stellt der Vorfall ein knappes Vermeiden eines Exploits dar, nicht einen realisierten.

Auf diesem Stand hat keine unabhängige Quelle eines der beiden Ergebnisse bestätigt. Die Schilderung stammt von einer einzigen Partei: dem Infrastrukturanbieter, dessen Schlüsselverwaltung betroffen war. Nutzerberichte, eine eigene Offenlegung von Keplr oder On-Chain-Daten, die den beschriebenen Transfers entsprechen, würden jeweils stärkere Belege für eines der Szenarien liefern.

Was noch zu bestätigen bleibt

Mehrere Fakten, die die Darstellung von Web3Auth untermauern würden, fehlen in der aktuellen Berichterstattung. Jede davon ist eine offene Frage, die Leser verfolgen können, während sich der Vorfall entwickelt.

• Offenlegung der Ursache. Wie war die Art der Schwachstelle – ein geleakter Schlüssel, ein kompromittierter Signaturdienst oder ein logischer Fehler in der Schlüsselableitung? Ohne diese Information kann der Umfang der gefährdeten Wallets nicht eingeschätzt werden.
• Zahl der betroffenen Wallets. Wie viele Keplr-Wallets waren betroffen? Die Zahl von 5,6 Millionen US-Dollar deutet auf einen bestimmten Satz von Wallets hin, aber keine Anzahl wurde berichtet.
• On-Chain-Transaktionsdaten. Block-Explorer-Einträge mit Transfervolumen, Quell-Wallets, Zieladressen und Zeitstempeln würden eine unabhängige Überprüfung des Betrags und der Zeitlinie im Verhältnis zu etwaigen Aktivitäten von Angreifern ermöglichen.
• Status der Rückführung der Gelder. Wo sind die transferierten Gelder jetzt – an Nutzer zurückgegeben, in einem Multisig gehalten oder in einem Recovery-Vertrag hinterlegt? Die schützende Absicht der Maßnahme ist nur glaubwürdig, wenn die Rückführung dokumentiert ist.
• Unabhängige Stellungnahme von Keplr. Als die von betroffenen Nutzern verwendete Wallet-Schnittstelle würde eine eigene Offenlegung von Keplr der Darstellung des Vorfalls erhebliches Gewicht verleihen. Eine separate Stellungnahme von Keplr wurde in verfügbaren Quellen nicht bestätigt.

Das Fehlen dieser Details bedeutet nicht, dass die Darstellung von Web3Auth falsch ist, aber es bedeutet, dass der Vorfall derzeit eine einzelne Behauptung der Partei ist, die am stärksten dazu motiviert ist, das Ergebnis als schützenden Erfolg darzustellen. Protokoll-Risikobewertungen für Anwendungen, die auf der Schlüssel-Infrastruktur von Web3Auth aufbauen, sollten dies als offenes Sicherheitsereignis behandeln, bis ein vollständiger Postmortem veröffentlicht ist.

Für Nutzer, deren Wallets möglicherweise betroffen sind, besteht die unmittelbarste Maßnahme darin, Guthaben über Cosmos-Chain-Explorer zu überprüfen und offizielle Mitteilungen sowohl von Web3Auth als auch von Keplr zu verfolgen. Wallet-Sicherheit in Social-Login-Architekturen hängt von der Transparenz und der Qualität des Incident-Response der zugrunde liegenden Schlüsselverwaltungsschicht ab, und dieser Vorfall wird als Datenpunkt in dieser laufenden Bewertung dienen.

Quelle: DefiLiban — Web3Auth Says It Moved $5.6M From Exposed Keplr Wallets