Keplr Wallet heeft de Google- en Apple-login opgeschort na meldingen van ongeautoriseerde transacties, met de waarschuwing dat gebruikers die zich via de getroffen sociale authenticatiemethoden hebben geregistreerd mogelijk zijn blootgesteld. Volgens de voorlopige beoordeling van het bedrijf zijn accounts die met traditionele herstelzinnen of hardware wallets zijn aangemaakt niet getroffen.

De wallet-aanbieder heeft mogelijk getroffen gebruikers geadviseerd geen extra geld te storten, hun accounts niet opnieuw te importeren of opnieuw aan te maken en uitsluitend officiële communicatie te volgen zolang het onderzoek loopt.

Keplr markeert Google- en Apple-loginaccounts

In een beveiligingsverklaring van 6 november identificeerde Keplr accounts die via Google- en Apple-login zijn aangemaakt als de groep die mogelijk getroffen is door de ongeautoriseerde transacties.

"If you created your Keplr account with Google or Apple login, your account may be affected," aldus Keplr.

Het bedrijf gaf specifieke instructies om gebruikers te helpen verdere blootstelling te beperken terwijl onderzoekers het incident onderzoeken. Houders van mogelijk getroffen accounts kregen te horen te stoppen met het overmaken van nieuwe fondsen naar die wallets en te voorkomen dat ze de accounts via andere diensten proberen te herstellen, opnieuw te importeren of opnieuw aan te maken.

Keplr waarschuwde gebruikers ook niet te reageren op ongevraagde directe berichten of te klikken op links die beweren hulp te bieden bij wallet-herstel, en verwees hen naar het officiële X-account voor geverifieerde beveiligingsupdates en instructies.

De waarschuwing geldt specifiek voor accounts die via de getroffen sociale login-methoden zijn aangemaakt, niet voor alle Keplr-wallets.

Web3Auth-infrastructuur wordt onderzocht

Het onderscheid tussen accountcreatiemethoden is belangrijk omdat Keplr verschillende benaderingen gebruikt voor wallet-authenticatie en beheer van privésleutels. Volgens de beveiligingsdocumentatie van Keplr gebruiken accounts die via Google-login zijn aangemaakt Web3Auth-technologie om een privésleutel te genereren in plaats van een conventionele herstelzin van 12 of 24 woorden. De documentatie vermeldt dat de gegenereerde privésleutel versleuteld is en lokaal op het apparaat van de gebruiker wordt opgeslagen.

Die architectuur weerspiegelt een gebruikelijke afweging bij wallet-onboarding: sociale login neemt het beheer van seed phrases uit de verantwoordelijkheid van de gebruiker, maar koppelt de accountgeneratie in ruil daarvoor aan de onderliggende infrastructuur van de authenticatieprovider. Omdat die infrastructuur meerdere applicaties tegelijk kan bedienen, kan een probleem op providerniveau verder reiken dan één enkele wallet-app, wat een centrale reden is dat het incident zowel Keplr als Web3Auth betreft en niet één bedrijf alleen.

Keplr werkt samen met Web3Auth om de gemelde ongeautoriseerde transacties te onderzoeken, hoewel geen van beide bedrijven de onderliggende oorzaak van het beveiligingsprobleem publiek heeft vastgesteld. De eerste bevindingen van Keplr gaven aan dat gebruikers die hun wallets met herstelzinnen of hardware wallets hadden opgezet niet zijn getroffen, een beoordeling die voorlopig blijft zolang het onderzoek loopt.

Web3Auth schort embedded wallet-dienst tijdelijk op

Web3Auth erkende het beveiligingsprobleem afzonderlijk in een verklaring van 6 november, waarin werd bevestigd dat een probleem zijn diensten had getroffen zoals gebruikt door bepaalde applicaties van derden. De wallet-infrastructuuraanbieder zeide zijn embedded wallet-dienst tijdelijk te hebben gepauzeerd, waarmee applicaties functionaliteit voor cryptovaluta-wallets direct in hun platforms kunnen integreren.

De opschorting is een afzonderlijke voorzorgsmaatregel, los van de beslissing van Keplr om de Google- en Apple-login uit te schakelen.

Web3Auth ging ook in op mogelijke zorgen rond MetaMask en verklaarde dat het eerste onderzoek geen aanwijzingen heeft opgeleverd dat MetaMask-gebruikers zijn getroffen.

"After an initial investigation, we've found no evidence that MetaMask users are impacted," aldus Web3Auth.

De verklaring stelde de volledige omvang van het incident bij andere applicaties die op de Web3Auth-infrastructuur zijn gebouwd niet vast.

Oorzaak en financiële impact blijven onbevestigd

Wederom Keplr noch Web3Auth heeft bekendgemaakt hoe de ongeautoriseerde transacties zijn ontstaan, en geen van beide bedrijven heeft een schatting van financiële verliezen gegeven of aangegeven hoeveel accounts mogelijk zijn gecompromitteerd.

Daardoor blijft de omvang van het incident onduidelijk, inclusief de vraag of de gemelde activiteit beperkt bleef tot een klein aantal wallets of zich uitstrekte tot een bredere groep gebruikers die afhankelijk zijn van de getroffen authenticatiediensten.

Keplr zei geverifieerde bevindingen en verdere instructies via zijn officiële X-account te publiceren naarmate het onderzoek vordert. Tot nadere informatie beschikbaar komt, richt de begeleiding van het zich op het voorkomen van nieuwe stortingen op mogelijk getroffen accounts en het weghouden van gebruikers bij ongeautoriseerde hersteldiensten. De details om in de gaten te houden naarmate het onderzoek vordert, zijn de vastgestelde oorzaak, eventuele cijfers over getroffen accounts of verliezen, en wanneer Web3Auth de gepauzeerde embedded wallet-dienst herstelt.

Bron: Hokanews, op basis van berichtgeving door Ethan Collins voor The Defiant.