Keplr hat die Google- und Apple-Wallet-Logins nach einer Sicherheitsverletzung im Zusammenhang mit Web3Auth ausgesetzt, bei der private Schlüssel von Nutzern offengelegt wurden, während Blockchain-Ermittler Transfers in Höhe von mehr als 6 Millionen US-Dollar von über 44.000 Wallets nachverfolgten.
Zusammenfassung
- Keplr hat die Google- und Apple-Wallet-Logins ausgesetzt, nachdem die Web3Auth-Infrastruktur die privaten Schlüssel einiger Nutzer offengelegt hatte.
- Bitquery verfolgte Transfers in Höhe von etwa 6,01 Millionen US-Dollar, an denen mehr als 44.000 Wallets in Cosmos-Netzwerken beteiligt waren.
- Der Mitbegründer von Keplr schätzte, dass etwa 20 % der Social-Login-Konten potenziell betroffen waren, wobei tatsächlich weniger ausgebeutet wurden.
- Web3Auth begann mit Whitehat-Wiederherstellungsoperationen und warnte davor, dass Schutztransfers wie unbefugte Wallet-Leerungsaktivitäten aussehen könnten.
- Keplr riet Social-Login-Nutzern, verbleibende liquide Vermögenswerte in sichere Konten mit Wiederherstellungsphrase oder Hardware-Wallet zu verschieben.
In seiner Sicherheitsmitteilung vom 7. November bestätigte Keplr Wallet den Eingang von Berichten über unbefugte Transaktionen im Zusammenhang mit Konten, die über Social Logins erstellt wurden. Das Unternehmen brachte den Vorfall mit Web3Auth in Verbindung, einem Wallet-Authentifizierungsanbieter im Besitz von Consensys, und begann mit dessen Team zusammenzuarbeiten, um die betroffenen Konten zu untersuchen.
Die Sicherheitsverletzung hat dazu geführt, dass einige Nutzer nicht mehr über den üblichen Login-Prozess auf ihre Wallets zugreifen können, während andere über fehlende Gelder berichtet haben. Der Mitbegründer von Keplr, Josh Lee, schätzte, dass etwa 20 % der Google- und Apple-Login-Konten der Plattform betroffen sein könnten, obwohl nach seinen Angaben nur ein Bruchteil tatsächlich ausgebeutet wurde.
Keplr-Wallet-Hack auf Sicherheitsverletzung der Web3Auth-Infrastruktur zurückgeführt
Das Sicherheitsproblem entstand in der von Web3Auth betriebenen Infrastruktur, die es Nutzern ermöglicht, Kryptowährungs-Wallets über bestehende Online-Konten zu erstellen und darauf zuzugreifen, ohne während des Onboardings manuell Wiederherstellungsphrasen verwalten zu müssen.
Lee erklärte, dass der Vorfall nicht durch eine Kompromittierung des eigenen Wallet-Codes von Keplr verursacht wurde. Stattdessen stützten sich die betroffenen Konten auf einen externen Authentifizierungsdienst, der anschließend einen Sicherheitsausfall erlitt.
„Dies war kein Hack des Codes von Keplr. Der Vorfall entstand bei Web3Auth, einem Anbieter, den Keplr nutzt“, sagte Lee.
Web3Auth bestätigte anschließend ein Infrastrukturproblem, das bestimmte von Keplr genutzte eingebettete Wallets betraf. Das Unternehmen setzte seinen eingebetteten Wallet-Dienst vorübergehend aus, während es die Sicherheitsverletzung untersuchte und Konten identifizierte, die geschützt werden mussten.
„Nach einer ersten Untersuchung haben wir keine Hinweise darauf gefunden, dass MetaMask-Nutzer betroffen sind“, sagte der Anbieter.
Obwohl Web3Auth Authentifizierungsdienste für Anwendungen Dritter unterstützt, hat das Unternehmen keine vollständige Liste anderer Wallet-Anbieter veröffentlicht, die der Schwachstelle ausgesetzt waren. Es hat auch nicht öffentlich erklärt, an welchem technischen Einstiegspunkt die betroffenen privaten Schlüssel kompromittiert werden konnten.
Blockchain-Daten verfolgen 6 Mio. US-Dollar über Tausende von Wallets
Das Blockchain-Intelligence-Unternehmen Bitquery verfolgte Vermögenswerte in Höhe von etwa 6,01 Millionen US-Dollar über zwei Sammeladressen, die mit dem Vorfall vom 6. bis 7. November in Verbindung stehen.
Seine Untersuchung identifizierte 44.041 Wallets in sieben Cosmos-Netzwerken sowie 7.603 betroffene Adressen auf Injective. Da einige Wallets in mehreren Netzwerken auftauchten, schätzten die Forscher nach Berücksichtigung überlappender Adressen etwa 44.700 verschiedene betroffene Wallets.
Auf das Cosmos Hub entfielen etwa 3,5 Millionen US-Dollar der erfassten Vermögenswerte, wobei weitere Transfers Osmosis, Celestia, Akash, Noble, Babylon, dYdX und Injective betrafen.
Die Untersuchung ergab, dass etwa 86 % der betroffenen Wallets in den sieben verbundenen Netzwerken nach der ersten Warnung von Keplr ausgehende Transfers aufwiesen. Die Forscher verzeichneten während ihres Beobachtungszeitraums am 7. November weiterhin Transaktionen auf dem Cosmos Hub.
Bitquery identifizierte Transfers mit 1,96 Millionen gestakten ATOM, wobei die Transaktionen die Tokenisierung von Staking-Anteilen nutzten, um Positionen zu übertragen, ohne die übliche 21-tägige Unbonding-Periode abzuschließen.
Web3Auth gab jedoch anschließend bekannt, dass autorisierte Wiederherstellungsteams Vermögenswerte über ähnliche Transaktionswege bewegten.
Folglich können die erfassten Transfers nicht alle als bestätigte, vom Angreifer kontrollierte Verluste behandelt werden, ohne Wiederherstellungsadressen von bösartigen Zielen zu unterscheiden.
Web3Auth beginnt mit der Whitehat-Wiederherstellung für exponierte Konten
Da einige gefährdete Konten noch Kryptowährungen halten, haben Web3Auth und seine Partner Whitehat-Wiederherstellungsoperationen gestartet, um Gelder zu schützen, bevor Angreifer darauf zugreifen können.
Das Unternehmen erklärte, die Wiederherstellungsteams nutzten denselben technischen Weg, der während des Vorfalls ausgenutzt wurde, was dazu geführt habe, dass einige Schutztransaktionen fälschlicherweise für zusätzliche Diebstähle gehalten wurden.
Keplr warnte anschließend, dass bestimmte Google- und Apple-Login-Wallets aufgrund dieser Schutzmaßnahmen verringerte oder leere Guthaben anzeigen könnten. Gestakte und gesperrte Vermögenswerte erfordern kompliziertere Wiederherstellungsverfahren, was bedeutet, dass die Arbeit länger dauern könnte.
Lee hatte zuvor erklärt, dass die Mehrheit der potenziell exponierten Konten möglicherweise noch wiederherstellbar sei, obwohl das Unternehmen noch keinen endgültigen Betrag genannt hat, der gesichert oder an Nutzer zurückgegeben wurde.
Keplr hat nicht öffentlich festgestellt, ob betroffene Kunden eine Rückerstattung für bestätigte Verluste erhalten werden.
Keplr rät Nutzern von Social-Logins, verbleibende Gelder zu verschieben
Für Kunden, die Wallets mit Wiederherstellungsphrasen oder Hardware-Geräten erstellt haben, erklärte Keplr, dass der Vorfall ihre Konten nicht betroffen habe. Die neueste Anleitung betrifft speziell Wallets, die über Google- oder Apple-Authentifizierung erstellt wurden.
Das Unternehmen riet Nutzern von Social-Logins davon ab, zusätzliche Gelder auf potenziell kompromittierte Konten zu überweisen, und wies sie an, alle verbleibenden liquiden Vermögenswerte auf Konten mit Wiederherstellungsphrase oder Hardware-Wallet zu verschieben.
Es arbeitet mit Web3Auth an einer Methode, mit der Kunden feststellen können, ob ihre Konten betroffen waren. Nutzer wurden vor unaufgeforderten Nachrichten und Links gewarnt, die eine Wiederherstellung von Vermögenswerten anbieten.
Der Vorfall folgt auf andere Sicherheitsversagen im Kryptowährungsbereich, bei denen Wallet-Anmeldedaten betroffen waren. Im Juli berichtete crypto.news über eine Kompromittierung der Injective-Software, bei der ein bösartiges Entwicklerpaket private Schlüssel und Wiederherstellungsphrasen offenlegte.
Eine Qubic-Wallet-Schwachstelle im Oktober betraf ebenfalls die Sicherheit von Wallets, obwohl die Ermittler diesen Vorfall auf Schwächen bei der Seed-Generierung und nicht auf die Social-Authentifizierung Dritter zurückführten.
Web3Auth und Keplr koordinieren weiterhin den Schutz und die Wiederherstellung von Konten, während der Anbieter Informationen vorbereitet, um autorisierte Wiederherstellungstransaktionen von Transfers im Zusammenhang mit dem Angreifer zu unterscheiden.
