Keplr Wallet zawiesił logowanie przez Google i Apple po zgłoszeniach nieautoryzowanych transakcji, ostrzegając, że użytkownicy, którzy zarejestrowali się poprzez dotknięte problemem metody uwierzytelniania społecznego, mogą być narażeni. Według wstępnej oceny firmy konta utworzone przy użyciu tradycyjnych fraz odzyskiwania lub portfeli sprzętowych nie zostały dotknięte.

Dostawca portfela zalecił potencjalnie poszkodowanym użytkownikom, aby unikali wpłacania dodatkowych środków, powstrzymali się od ponownego importowania lub odtwarzania swoich kont i polegali wyłącznie na oficjalnych komunikatach do czasu zakończenia śledztwa.

Keplr oznacza konta z logowaniem Google i Apple

W oświadczeniu o bezpieczeństwie wydanym 6 listopada Keplr zidentyfikował konta utworzone za pomocą logowania Google i Apple jako grupę potencjalnie dotkniętą nieautoryzowanymi transakcjami.

"Jeśli utworzyłeś swoje konto Keplr za pomocą logowania Google lub Apple, Twoje konto może być dotknięte," podał Keplr.

Firma wydała szczegółowe instrukcje mające pomóc użytkownikom ograniczyć dalszą ekspozycję, podczas gdy śledczy badają incydent. Posiadacze potencjalnie dotkniętych kont zostali poinformowani, aby przestali przesyłać nowe środki na te portfele oraz unikali prób przywracania, ponownego importowania lub odtwarzania kont poprzez inne usługi.

Keplr ostrzegł również użytkowników przed odpowiadaniem na niezamówione wiadomości bezpośrednie lub klikaniem linków rzekomo oferujących pomoc w odzyskiwaniu portfela, kierując ich do oficjalnego konta na X w celu uzyskania zweryfikowanych aktualizacji bezpieczeństwa i instrukcji.

Ostrzeżenie dotyczy konkretnie kont utworzonych poprzez dotknięte problemem metody logowania społecznego, a nie wszystkich portfeli Keplr.

Infrastruktura Web3Auth pod śledztwem

Rozróżnienie między metodami tworzenia kont ma znaczenie, ponieważ Keplr stosuje różne podejścia do uwierzytelniania portfela i zarządzania kluczami prywatnymi. Zgodnie z dokumentacją bezpieczeństwa Keplr konta utworzone przez logowanie Google wykorzystują technologię Web3Auth do generowania klucza prywatnego zamiast konwencjonalnej frazy odzyskiwania składającej się z 12 lub 24 słów. Dokumentacja stanowi, że wygenerowany klucz prywatny jest szyfrowany i przechowywany lokalnie na urządzeniu użytkownika.

Ta architektura odzwierciedla powszechny kompromis w procesie tworzenia portfela: logowanie społeczne zwalnia użytkownika z zarządzania frazą seed, ale w zamian wiąże generowanie konta z podstawową infrastrukturą dostawcy uwierzytelniania. Ponieważ ta infrastruktura może obsługiwać wiele aplikacji jednocześnie, problem na poziomie dostawcy może wykraczać poza pojedynczą aplikację portfela, co jest głównym powodem, dla którego incydent dotyczy zarówno Keplr, jak i Web3Auth, a nie tylko jednej firmy.

Keplr współpracuje z Web3Auth nad badaniem zgłoszonych nieautoryzowanych transakcji, chociaż żadna z firm nie ustaliła publicznie podstawowej przyczyny problemu z bezpieczeństwem. Wstępne ustalenia Keplr wskazywały, że użytkownicy, którzy skonfigurowali swoje portfele przy użyciu fraz odzyskiwania lub portfeli sprzętowych, nie zostali dotknięci incydentem — ocena ta pozostaje wstępna w toku dalszego śledztwa.

Web3Auth tymczasowo zawiesza usługę osadzonych portfeli

Web3Auth niezależnie przyznało do problemu z bezpieczeństwem w oświadczeniu wydanym 6 listopada, potwierdzając, że usterka dotknęła jego usług w zakresie, w jakim korzystały z nich pewne aplikacje zewnętrzne. Dostawca infrastruktury portfeli oświadczył, że tymczasowo wstrzymał swoją usługę osadzonych portfeli, która pozwala aplikacjom integrować funkcjonalność portfela kryptowalutowego bezpośrednio ze swoimi platformami.

To zawieszenie jest odrębnym środkiem ostrożności od decyzji Keplr o wyłączeniu logowania Google i Apple.

Web3Auth odniosło się również do potencjalnych obaw dotyczących MetaMask, stwierdzając, że wstępne śledztwo nie ujawniło dowodów na wpływ na użytkowników MetaMask.

"Po wstępnym śledztwie nie znaleźliśmy dowodów na to, że użytkownicy MetaMask zostali dotknięci," podało Web3Auth.

Oświadczenie nie określiło pełnego zakresu incydentu w innych aplikacjach opartych na infrastrukturze Web3Auth.

Przyczyna i wpływ finansowy pozostają niepotwierdzone

Ani Keplr, ani Web3Auth nie ujawniły, jak doszło do nieautoryzowanych transakcji, a żadna z firm nie podała szacunków strat finansowych ani nie określiła, ile kont mogło zostać skompromitowanych.

W rezultacie skala incydentu pozostaje niejasna, w tym to, czy zgłoszona aktywność ograniczała się do niewielkiej liczby portfeli, czy objęła szerszą grupę użytkowników korzystających z dotkniętych problemem usług uwierzytelniania.

Keplr oświadczył, że będzie publikować zweryfikowane ustalenia i dalsze instrukcje za pośrednictwem swojego oficjalnego konta na X w miarę postępu śledztwa. Do czasu uzyskania dodatkowych informacji wytyczne firmy koncentrują się na zapobieganiu nowym wpłatom na potencjalnie dotknięte konta i ostrzeganiu użytkowników przed nieautoryzowanymi usługami odzyskiwania. Szczegółami, na które warto zwracać uwagę w miarę postępu śledztwa, są ustalona przyczyna, wszelkie dane dotyczące dotkniętych kont lub strat oraz moment, w którym Web3Auth przywróci wstrzymaną usługę osadzonych portfeli.

Źródło: Hokanews, na podstawie doniesień Ethana Collinsa dla The Defiant.