Keplr ha suspendido los inicios de sesión de billeteras de Google y Apple tras una brecha de seguridad que involucra a Web3Auth y que expuso las claves privadas de los usuarios, mientras los investigadores de blockchain rastrean más de $6 millones en transferencias desde más de 44,000 billeteras.
Resumen
- Keplr suspendió los inicios de sesión de billeteras de Google y Apple después de que la infraestructura de Web3Auth expusiera las claves privadas de algunos usuarios.
- Bitquery rastreó aproximadamente $6.01 millones en transferencias que involucran a más de 44,000 billeteras en las redes de Cosmos.
- El cofundador de Keplr estimó que alrededor del 20% de las cuentas de inicio de sesión social podrían estar potencialmente expuestas, con menos realmente explotadas.
- Web3Auth comenzó operaciones de recuperación de sombrero blanco, advirtiendo que las transferencias protectoras podrían parecerse a una actividad no autorizada de vaciado de billeteras.
- Keplr aconsejó a los usuarios de inicio de sesión social que trasladen los activos líquidos restantes a cuentas seguras con frase de recuperación o billetera de hardware.
En su aviso de seguridad del 7 de noviembre, Keplr Wallet confirmó haber recibido informes de transacciones no autorizadas que involucran cuentas creadas a través de inicios de sesión sociales. La compañía vinculó el incidente con Web3Auth, un proveedor de autenticación de billeteras propiedad de Consensys, y comenzó a trabajar con su equipo para investigar las cuentas afectadas.
La brecha ha dejado a algunos usuarios incapaces de acceder a sus billeteras a través del proceso de inicio de sesión habitual, mientras que otros han reportado fondos faltantes. El cofundador de Keplr, Josh Lee, estimó que aproximadamente el 20% de las cuentas de inicio de sesión de Google y Apple de la plataforma podrían verse afectadas, aunque dijo que solo una fracción había sido explotada.
El hackeo de Keplr Wallet se atribuye a una brecha en la infraestructura de Web3Auth
El problema de seguridad se originó en la infraestructura operada por Web3Auth, que permite a los usuarios crear y acceder a billeteras de criptomonedas a través de cuentas en línea existentes sin gestionar manualmente las frases de recuperación durante el registro.
Lee explicó que el incidente no fue causado por un compromiso del propio código de la billetera de Keplr. En cambio, las cuentas afectadas dependían de un servicio de autenticación externo que posteriormente experimentó una falla de seguridad.
“Esto no fue un hackeo del código de Keplr. El incidente se originó en Web3Auth, un proveedor que Keplr utiliza”, dijo Lee.
Posteriormente, Web3Auth reconoció un problema de infraestructura que afectaba a ciertas billeteras integradas utilizadas por Keplr. La compañía suspendió temporalmente su servicio de billetera integrada mientras investigaba la brecha e identificaba las cuentas que requerían protección.
“Después de una investigación inicial, no hemos encontrado evidencia de que los usuarios de MetaMask se vean afectados”, dijo el proveedor.
Aunque Web3Auth admite servicios de autenticación para aplicaciones de terceros, la compañía no ha publicado una lista completa de otros proveedores de billeteras expuestos a la vulnerabilidad. No ha explicado públicamente el punto de entrada técnico que permitió que las claves privadas afectadas quedaran comprometidas.
Los datos de blockchain rastrean $6 millones en miles de billeteras
La firma de inteligencia de blockchain Bitquery rastreó aproximadamente $6.01 millones en activos a través de dos direcciones de recolección asociadas con el incidente del 6 al 7 de noviembre.
Su investigación identificó 44,041 billeteras en siete redes de Cosmos, junto con 7,603 direcciones afectadas en Injective. Debido a que algunas billeteras aparecieron en múltiples redes, los investigadores estimaron aproximadamente 44,700 billeteras distintas afectadas después de contabilizar las direcciones superpuestas.
Cosmos Hub representó aproximadamente $3,5 millones de los activos registrados, con transferencias adicionales que involucraron a Osmosis, Celestia, Akash, Noble, Babylon, dYdX e Injective.
La investigación encontró que aproximadamente el 86% de las billeteras afectadas en las siete redes vinculadas experimentaron transferencias salientes después de que Keplr emitiera su advertencia inicial. Los investigadores registraron transacciones que continuaron en Cosmos Hub durante su período de observación del 7 de noviembre.
Bitquery identificó transferencias que involucraban 1,96 millones de ATOM en staking, con las transacciones utilizando la tokenización de participaciones de staking para mover posiciones sin completar el período habitual de desvinculación de 21 días.
Sin embargo, Web3Auth reveló posteriormente que equipos de recuperación autorizados estaban moviendo activos a través de rutas de transacción similares.
En consecuencia, las transferencias registradas no pueden tratarse todas como pérdidas confirmadas controladas por el atacante sin distinguir las direcciones de recuperación de los destinos maliciosos.
Web3Auth inicia la recuperación de sombrero blanco para las cuentas expuestas
Con algunas cuentas vulnerables que aún contienen criptomonedas, Web3Auth y sus socios han iniciado operaciones de recuperación de sombrero blanco para proteger los fondos antes de que los atacantes puedan acceder a ellos.
La compañía dijo que los equipos de recuperación estaban utilizando la misma ruta técnica explotada durante el incidente, lo que había provocado que algunas transacciones protectoras se confundieran con robos adicionales.
Keplr advirtió posteriormente que ciertas billeteras de inicio de sesión de Google y Apple podrían mostrar saldos reducidos o vacíos debido a esas medidas de protección. Los activos en staking y bloqueados requieren procedimientos de recuperación más complicados, lo que significa que el trabajo podría llevar más tiempo.
Lee había dicho anteriormente que la mayoría de las cuentas potencialmente expuestas aún podrían ser recuperables, aunque la compañía no ha anunciado un monto final asegurado o devuelto a los usuarios.
Keplr no ha establecido públicamente si los clientes afectados recibirán reembolso por las pérdidas confirmadas.
Keplr aconseja a los usuarios de inicio de sesión social que muevan los fondos restantes
Para los clientes que crearon billeteras utilizando frases de recuperación o dispositivos de hardware, Keplr dijo que el incidente no había afectado sus cuentas. Su guía más reciente se refiere específicamente a las billeteras creadas mediante autenticación de Google o Apple.
La compañía aconsejó a los usuarios de inicio de sesión social que no enviaran fondos adicionales a cuentas potencialmente comprometidas y les indicó que movieran cualquier activo líquido restante a cuentas con frase de recuperación o billetera de hardware.
Está trabajando con Web3Auth en un método para que los clientes establezcan si sus cuentas se vieron afectadas. Se advirtió a los usuarios contra mensajes y enlaces no solicitados que afirman ofrecer recuperación de activos.
El incidente sigue a otras fallas de seguridad de criptomonedas que involucran credenciales de billeteras. En julio, crypto.news cubrió un compromiso del software de Injective que involucraba un paquete de desarrollador malicioso que exponía claves privadas y frases de recuperación.
Una vulnerabilidad de la billetera Qubic en octubre también involucró la seguridad comprometida de la billetera, aunque los investigadores rastrearon ese incidente hasta debilidades en la generación de semillas en lugar de la autenticación social de terceros.
Web3Auth y Keplr continúan coordinando la protección y recuperación de cuentas, mientras el proveedor prepara información para distinguir las transacciones de recuperación autorizadas de las transferencias asociadas con el atacante.
