Keplr Wallet приостановил вход через Google и Apple после сообщений о несанкционированных транзакциях, предупредив, что пользователи, зарегистрировавшиеся через затронутые методы социальной аутентификации, могут быть подвержены риску. По предварительной оценке компании, учетные записи, созданные с использованием традиционных сид-фраз или аппаратных кошельков, не пострадали.

Поставщик кошелька посоветовал потенциально затронутым пользователям воздержаться от внесения дополнительных средств, не восстанавливать, не реимпортировать и не пересоздавать свои учетные записи и полагаться исключительно на официальные сообщения, пока продолжается расследование.

Keplr предупреждает пользователей входа через Google и Apple

В заявлении по безопасности от 6 ноября Keplr обозначил учетные записи, созданные через вход Google и Apple, как группу, потенциально затронутую несанкционированными транзакциями.

«Если вы создали свою учетную запись Keplr через вход Google или Apple, ваша учетная запись может быть затронута», — заявили в Keplr.

Компания дала конкретные инструкции, призванные помочь пользователям ограничить дальнейшее воздействие, пока следователи изучают инцидент. Держателей потенциально затронутых учетных записей попросили прекратить перевод новых средств в эти кошельки и не пытаться восстанавливать, реимпортировать или пересоздавать учетные записи через другие сервисы.

Keplr также предостерег пользователей от ответов на нежелательные личные сообщения и перехода по ссылкам, обещающим помощь в восстановлении кошелька, направив их в официальный X-аккаунт за проверенными обновлениями по безопасности и инструкциями.

Предупреждение касается именно учетных записей, созданных через затронутые методы социального входа, а не всех кошельков Keplr.

Инфраструктура Web3Auth под следствием

Различие между методами создания учетных записей имеет значение, поскольку Keplr использует разные подходы к аутентификации кошелька и управлению приватными ключами. Согласно документации Keplr по безопасности, учетные записи, созданные через вход Google, используют технологию Web3Auth для генерации приватного ключа вместо традиционной сид-фразы из 12 или 24 слов. В документации указано, что сгенерированный приватный ключ шифруется и хранится локально на устройстве пользователя.

Эта архитектура отражает распространенный компромисс при создании кошельков: социальный вход избавляет пользователя от управления сид-фразой, но взамен привязывает генерацию учетной записи к базовой инфраструктуре провайдера аутентификации. Поскольку эта инфраструктура может обслуживать сразу несколько приложений, проблема на уровне провайдера может выйти за рамки одного приложения-кошелька — это ключевая причина, по которой инцидент затрагивает и Keplr, и Web3Auth, а не только одну компанию.

Keplr работает вместе с Web3Auth над расследованием заявленных несанкционированных транзакций, хотя ни одна из компаний публично не установила основную причину проблемы безопасности. Первоначальные выводы Keplr показали, что пользователи, создавшие кошельки с помощью сид-фраз или аппаратных кошельков, не пострадали от инцидента; эта оценка остается предварительной, пока продолжается расследование.

Web3Auth временно приостанавливает сервис встроенных кошельков

Web3Auth отдельно признала проблему безопасности в заявлении от 6 ноября, подтвердив, что сбой затронул ее сервисы, используемые определенными сторонними приложениями. Поставщик инфраструктуры кошельков сообщил, что временно приостановил свой сервис встроенных кошельков, который позволяет приложениям интегрировать функциональность криптовалютных кошельков напрямую в свои платформы.

Приостановка является отдельной мерой предосторожности, не связанной с решением Keplr отключить вход через Google и Apple.

Web3Auth также ответила на возможные опасения, касающиеся MetaMask, заявив, что первоначальное расследование не выявило признаков влияния на пользователей MetaMask.

«После первоначального расследования мы не нашли никаких доказательств того, что пользователи MetaMask затронуты», — заявили в Web3Auth.

В заявлении не определен полный масштаб инцидента для других приложений, построенных на инфраструктуре Web3Auth.

Причина и финансовый ущерб остаются неподтвержденными

Ни Keplr, ни Web3Auth не раскрыли, как произошли несанкционированные транзакции, и ни одна из компаний не представила оценку финансовых потерь и не уточнила, сколько учетных записей могло быть скомпрометировано.

В результате масштаб инцидента остается неясным, в том числе то, была ли заявленная активность ограничена небольшим числом кошельков или затронула более широкую группу пользователей, полагающихся на затронутые сервисы аутентификации.

Keplr сообщил, что будет публиковать проверенные выводы и дальнейшие инструкции через свой официальный X-аккаунт по мере развития расследования. Пока дополнительная информация недоступна, рекомендации компании сосредоточены на предотвращении новых пополнений потенциально затронутых учетных записей и удержании пользователей от несанкционированных сервисов восстановления. Ключевые моменты, за которыми стоит следить по мере развития расследования: установленная причина, любые данные о количестве затронутых учетных записей или потерях, а также сроки возобновления приостановленного сервиса встроенных кошельков Web3Auth.

Источник: Hokanews, на основе репортажа Итана Коллинза для The Defiant.