Keplr a suspendu les connexions aux portefeuilles Google et Apple après une faille de sécurité impliquant Web3Auth qui a exposé les clés privées des utilisateurs, les enquêteurs blockchain ayant tracé plus de 6 millions de dollars de transferts depuis plus de 44 000 portefeuilles.
Résumé
- Keplr a suspendu les connexions aux portefeuilles Google et Apple après que l'infrastructure de Web3Auth a exposé les clés privées de certains utilisateurs.
- Bitquery a tracé environ 6,01 millions de dollars de transferts impliquant plus de 44 000 portefeuilles sur les réseaux Cosmos.
- Le cofondateur de Keplr a estimé qu'environ 20 % des comptes à connexion sociale étaient potentiellement exposés, avec un nombre plus faible réellement exploité.
- Web3Auth a lancé des opérations de récupération en tant que whitehat, avertissant que les transferts de protection pourraient ressembler à des activités de vidage de portefeuille non autorisées.
- Keplr a conseillé aux utilisateurs de connexion sociale de déplacer les actifs liquides restants vers des comptes sécurisés par phrase de récupération ou portefeuille matériel.
Dans son avis de sécurité du 7 novembre, Keplr Wallet a confirmé avoir reçu des signalements de transactions non autorisées impliquant des comptes créés via des connexions sociales. L'entreprise a lié l'incident à Web3Auth, un fournisseur d'authentification de portefeuille détenu par Consensys, et a commencé à travailler avec son équipe pour enquêter sur les comptes affectés.
La faille a empêché certains utilisateurs d'accéder à leurs portefeuilles via le processus de connexion habituel, tandis que d'autres ont signalé des fonds manquants. Le cofondateur de Keplr, Josh Lee, a estimé qu'environ 20 % des comptes de connexion Google et Apple de la plateforme pourraient être affectés, bien qu'il ait déclaré qu'une fraction seulement avait été exploitée.
Le piratage de Keplr Wallet attribué à une faille de l'infrastructure Web3Auth
Le problème de sécurité provenait de l'infrastructure exploitée par Web3Auth, qui permet aux utilisateurs de créer et d'accéder à des portefeuilles de cryptomonnaies via des comptes en ligne existants sans gérer manuellement les phrases de récupération lors de l'intégration.
Lee a expliqué que l'incident n'a pas été causé par une compromission du code du portefeuille de Keplr lui-même. Au contraire, les comptes affectés reposaient sur un service d'authentification externe qui a ensuite subi une défaillance de sécurité.
« Il ne s'agissait pas d'un piratage du code de Keplr. L'incident trouve son origine chez Web3Auth, un fournisseur utilisé par Keplr », a déclaré Lee.
Web3Auth a ensuite reconnu un problème d'infrastructure affectant certains portefeuilles intégrés utilisés par Keplr. L'entreprise a temporairement suspendu son service de portefeuille intégré pendant qu'elle enquêtait sur la faille et identifiait les comptes nécessitant une protection.
« Après une enquête initiale, nous n'avons trouvé aucune preuve que les utilisateurs de MetaMask soient affectés », a déclaré le fournisseur.
Bien que Web3Auth prenne en charge les services d'authentification pour des applications tierces, l'entreprise n'a pas publié de liste complète des autres fournisseurs de portefeuilles exposés à la vulnérabilité. Elle n'a pas expliqué publiquement le point d'entrée technique qui a permis aux clés privées affectées d'être compromises.
Les données blockchain tracent 6 M$ sur des milliers de portefeuilles
La société d'intelligence blockchain Bitquery a tracé environ 6,01 millions de dollars d'actifs sur deux adresses de collecte associées à l'incident du 6 au 7 novembre.
Son enquête a identifié 44 041 portefeuilles sur sept réseaux Cosmos, ainsi que 7 603 adresses affectées sur Injective. Comme certains portefeuilles apparaissaient sur plusieurs réseaux, les chercheurs ont estimé à environ 44 700 le nombre de portefeuilles distincts affectés après prise en compte des adresses se chevauchant.
Cosmos Hub représentait environ 3,5 millions de dollars des actifs enregistrés, avec des transferts supplémentaires impliquant Osmosis, Celestia, Akash, Noble, Babylon, dYdX et Injective.
L'enquête a révélé qu'environ 86 % des portefeuilles affectés sur les sept réseaux liés ont connu des transferts sortants après que Keplr a émis son avertissement initial. Les chercheurs ont enregistré des transactions se poursuivant sur Cosmos Hub pendant leur période d'observation du 7 novembre.
Bitquery a identifié des transferts impliquant 1,96 million d'ATOM stakés, les transactions utilisant la tokenisation des parts de staking pour déplacer des positions sans effectuer la période de déliaison habituelle de 21 jours.
Cependant, Web3Auth a ensuite divulgué que des équipes de récupération autorisées déplaçaient des actifs via des voies de transaction similaires.
Par conséquent, les transferts enregistrés ne peuvent pas tous être traités comme des pertes confirmées contrôlées par l'attaquant sans distinguer les adresses de récupération des destinations malveillantes.
Web3Auth entame la récupération en whitehat pour les comptes exposés
Alors que certains comptes vulnérables détiennent encore des cryptomonnaies, Web3Auth et ses partenaires ont lancé des opérations de récupération en whitehat pour protéger les fonds avant que les attaquants puissent y accéder.
L'entreprise a déclaré que les équipes de récupération utilisaient la même voie technique exploitée lors de l'incident, ce qui avait conduit certaines transactions de protection à être confondues avec des vols supplémentaires.
Keplr a ensuite averti que certains portefeuilles de connexion Google et Apple pourraient afficher des soldes réduits ou vides en raison de ces mesures de protection. Les actifs stakés et verrouillés nécessitent des procédures de récupération plus compliquées, ce qui signifie que le travail pourrait prendre plus de temps.
Lee avait précédemment déclaré que la majorité des comptes potentiellement exposés pourraient encore être récupérables, bien que l'entreprise n'ait pas annoncé de montant final sécurisé ou restitué aux utilisateurs.
Keplr n'a pas publiquement établi si les clients affectés recevront un remboursement pour les pertes confirmées.
Keplr conseille aux utilisateurs de connexion sociale de déplacer les fonds restants
Pour les clients qui ont créé des portefeuilles à l'aide de phrases de récupération ou d'appareils matériels, Keplr a déclaré que l'incident n'avait pas affecté leurs comptes. Ses dernières recommandations concernent spécifiquement les portefeuilles créés via l'authentification Google ou Apple.
L'entreprise a conseillé aux utilisateurs de connexion sociale de ne pas envoyer de fonds supplémentaires dans des comptes potentiellement compromis et leur a demandé de déplacer tout actif liquide restant vers des comptes à phrase de récupération ou à portefeuille matériel.
Elle travaille avec Web3Auth sur une méthode permettant aux clients de déterminer si leurs comptes ont été affectés. Les utilisateurs ont été mis en garde contre les messages et liens non sollicités prétendant offrir une récupération d'actifs.
L'incident fait suite à d'autres défaillances de sécurité des cryptomonnaies impliquant des identifiants de portefeuille. En juillet, crypto.news a couvert une compromission logicielle d'Injective impliquant un package de développeur malveillant qui exposait des clés privées et des phrases de récupération.
Une vulnérabilité du portefeuille Qubic en octobre impliquait également une sécurité de portefeuille compromise, bien que les enquêteurs aient attribué cet incident à des faiblesses dans la génération de graines plutôt qu'à l'authentification sociale tierce.
Web3Auth et Keplr continuent de coordonner la protection et la récupération des comptes, tandis que le fournisseur prépare des informations pour distinguer les transactions de récupération autorisées des transferts associés à l'attaquant.
