不正な取引の報告を受け、KeplrウォレットはGoogleおよびAppleログインを停止し、影響を受けたソーシャル認証手段を通じて登録したユーザーが被害に露出している可能性があると警告しました。同社の暫定的な評価によると、従来のリカバリーフレーズまたはハードウェアウォレットで作成されたアカウントは影響を受けていないといいます。

ウォレットプロバイダーは、影響を受けた可能性のあるユーザーに対し、追加の入金を避け、アカウントの再インポートや再作成を行わず、調査が継続する間は公式な連絡のみに依拠するよう助言しています。

Keplr、GoogleおよびAppleログインアカウントに警告

11月6日に発表されたセキュリティ声明で、Keplrは、GoogleおよびAppleログインを通じて作成されたアカウントを、不正な取引によって影響を受けている可能性のあるグループとして特定しました。

「GoogleまたはAppleログインでKeplrアカウントを作成した場合、そのアカウントは影響を受けている可能性があります」とKeplrは述べました。

同社は、調査員がインシデントを調査する間、ユーザーがさらなる露出を抑制できるよう設計された具体的な指示を発表しました。影響を受けた可能性のあるアカウントの保有者は、新しい資金をそれらのウォレットに送金することを中止し、他のサービスを通じてアカウントを復元、再インポート、または再作成しようとするのを避けるよう指示されました。

Keplrはまた、ウォレット復旧支援を提供すると主張するリンクや、未承諾のダイレクトメッセージに応答しないようユーザーに注意を促し、確認済みのセキュリティ更新情報および指示については公式Xアカウントを案内しました。

この警告は、影響を受けたソーシャルログイン手段を通じて作成されたアカウントに特化したものであり、すべてのKeplrウォレットに適用されるものではありません。

Web3Authインフラが調査中

アカウント作成方法の区別が重要なのは、Keplrがウォレット認証と秘密鍵管理において異なるアプローチを採用しているためです。Keplrのセキュリティドキュメントによると、Googleログインを通じて作成されたアカウントは、従来の12語または24語のリカバリーフレーズではなく、Web3Auth技術を使用して秘密鍵を生成します。ドキュメントには、生成された秘密鍵は暗号化され、ユーザーのデバイス上にローカルで保存されると記載されています。

このアーキテクチャは、ウォレットのオンボーディングにおける一般的なトレードオフを反映しています。ソーシャルログインはシードフレーズ管理をユーザーの責任から取り除きますが、その見返りとしてアカウント生成を認証プロバイダーの基盤インフラに結び付けています。そのインフラは複数のアプリケーションに同時にサービスを提供できるため、プロバイダーレベルの問題は特定のウォレットアプリにとどまらずに及ぶ可能性があり、これがインシデントが単一の企業ではなくKeplrとWeb3Authの両方に関わる中心的な理由です。

Keplrは報告された不正な取引を調査するためにWeb3Authと協力していますが、いずれの企業もセキュリティ問題の根本的な原因を公に特定していません。Keplrの初期調査結果では、リカバリーフレーズまたはハードウェアウォレットを使用してウォレットを設定したユーザーは影響を受けていないと示されており、この評価は調査の継続中であるため暫定的なものにとどまっています。

Web3Auth、組み込みウォレットサービスを一時停止

Web3Authは11月6日の声明で別途このセキュリティ問題を認め、一部のサードパーティアプリケーションが使用する同社のサービスに問題が影響したことを確認しました。ウォレットインフラプロバイダーは、これを受けて組み込みウォレットサービスを一時停止したと述べました。このサービスにより、アプリケーションは暗号通貨ウォレット機能を自社プラットフォームに直接統合できます。

この一時停止は、KeplrによるGoogleおよびAppleログインの無効化とは別の予防措置です。

Web3AuthはMetaMaskに関する潜在的な懸念にも言及し、初期調査ではMetaMaskユーザーへの影響を示す証拠は確認されなかったと述べました。

「初期調査の結果、MetaMaskユーザーが影響を受けているという証拠は見つかりませんでした」とWeb3Authは述べました。

この声明は、Web3Authインフラを利用する他のアプリケーションにわたるインシデントの全容を特定するものではありませんでした。

原因と金銭的影響は未確認のまま

KeplrとWeb3Authのいずれも、不正な取引がどのように発生したかを明らかにしておらず、金銭的損失の推定や、侵害された可能性のあるアカウントの数も特定していません。

その結果、報告された活動が少数のウォレットに限られたものなのか、影響を受けた認証サービスに依拠するより広範なユーザーグループに及んだものなのかを含め、インシデントの規模は不明のままです。

Keplrは、調査の進展に伴い、確認済みの調査結果とさらなる指示を公式Xアカウントを通じて公開すると述べました。追加情報が得られるまで、同社のガイダンスは、影響を受けた可能性のあるアカウントへの新規入金を防止し、非公式の復旧サービスを避けることに焦点を当てています。調査の進展に伴い注目すべき点は、特定された原因、影響を受けたアカウントまたは損失に関する数値の有無、そしてWeb3Authが一時停止中の組み込みウォレットサービスをいつ復旧させるかです。

出典:Hokanews、The DefiantのEthan Collinsによる報道に基づく。