Keplr призупинив вхід через гаманці Google та Apple після порушення безпеки за участю Web3Auth, яке розкрило приватні ключі користувачів, а дослідники блокчейну відстежили перекази на суму понад 6 мільйонів доларів з понад 44 000 гаманців.
Резюме
- Keplr призупинив вхід через гаманці Google та Apple після того, як інфраструктура Web3Auth розкрила приватні ключі деяких користувачів.
- Bitquery відстежила перекази на суму приблизно 6,01 мільйона доларів, що стосуються понад 44 000 гаманців у мережах Cosmos.
- Співзасновник Keplr оцінив, що приблизно 20% облікових записів із соціальним входом могли бути потенційно скомпрометовані, причому фактично використано було меншу частину.
- Web3Auth розпочала операції з відновлення силами білих хакерів, попереджаючи, що захисні перекази можуть бути схожі на несанкціоноване спустошення гаманців.
- Keplr порадив користувачам із соціальним входом перемістити залишкові ліквідні активи на безпечні облікові записи з фразою відновлення або апаратним гаманцем.
У своєму повідомленні про безпеку від 7 листопада Keplr Wallet підтвердив отримання повідомлень про несанкціоновані транзакції, що стосуються облікових записів, створених через соціальні входи. Компанія пов'язала інцидент із Web3Auth, постачальником автентифікації гаманців, що належить Consensys, і почала працювати з його командою над розслідуванням постраждалих облікових записів.
Порушення призвело до того, що деякі користувачі не можуть отримати доступ до своїх гаманців через звичайний процес входу, тоді як інші повідомили про зникнення коштів. Співзасновник Keplr Джош Лі оцінив, що приблизно 20% облікових записів платформи з входом через Google та Apple могли бути уражені, хоча, за його словами, використано було лише частину з них.
Злом гаманця Keplr пов'язали з порушенням інфраструктури Web3Auth
Проблема безпеки виникла в інфраструктурі, якою керує Web3Auth, що дозволяє користувачам створювати криптовалютні гаманці та отримувати до них доступ через наявні онлайн-акаунти без ручного керування фразами відновлення під час реєстрації.
Лі пояснив, що інцидент не був спричинений компрометацією власного коду гаманця Keplr. Натомість постраждалі облікові записи покладалися на зовнішній сервіс автентифікації, який згодом зазнав збою безпеки.
«Це не був злом коду Keplr. Інцидент стався у Web3Auth, постачальника, якого використовує Keplr», — сказав Лі.
Згодом Web3Auth визнала проблему інфраструктури, що вплинула на певні вбудовані гаманці, які використовує Keplr. Компанія тимчасово призупинила роботу свого сервісу вбудованих гаманців, поки розслідувала порушення та визначала облікові записи, які потребують захисту.
«Після початкового розслідування ми не знайшли доказів того, що користувачі MetaMask постраждали», — заявив постачальник.
Хоча Web3Auth підтримує сервіси автентифікації для сторонніх застосунків, компанія не опублікувала повний перелік інших постачальників гаманців, уразливих до цієї вразливості. Вона публічно не пояснила технічну точку входу, яка дозволила скомпрометувати постраждалі приватні ключі.
Дані блокчейну відстежують 6 млн доларів через тисячі гаманців
Фірма блокчейн-аналітики Bitquery відстежила активи на суму приблизно 6,01 мільйона доларів на двох адресах збору, пов'язаних з інцидентом 6–7 листопада.
У ході розслідування було виявлено 44 041 гаманець у семи мережах Cosmos, а також 7 603 постраждалі адреси в Injective. Оскільки деякі гаманці з'являлися в кількох мережах, дослідники після врахування перекриття адрес оцінили кількість унікальних постраждалих гаманців приблизно у 44 700.
Cosmos Hub становив приблизно 3,5 мільйона доларів із зафіксованих активів, а додаткові перекази стосувалися Osmosis, Celestia, Akash, Noble, Babylon, dYdX та Injective.
Розслідування виявило, що приблизно 86% постраждалих гаманців у семи пов'язаних мережах зазнали вихідних переказів після того, як Keplr оприлюднив своє початкове попередження. Дослідники зафіксували транзакції, що тривали в Cosmos Hub протягом їхнього періоду спостереження 7 листопада.
Bitquery ідентифікував перекази, що стосувалися 1,96 мільйона стейканих ATOM, причому транзакції використовували токенізацію часток стейкінгу для переміщення позицій без завершення звичайного 21-денного періоду анбондингу.
Однак Web3Auth згодом повідомив, що уповноважені групи відновлення переміщували активи через подібні шляхи транзакцій.
Отже, зафіксовані перекази не можна всі вважати підтвердженими втратами, контрольованими зловмисником, без відокремлення адрес відновлення від зловмисних призначень.
Web3Auth розпочинає whitehat-відновлення для скомпрометованих акаунтів
Оскільки деякі вразливі акаунти досі утримують криптовалюту, Web3Auth та його партнери розпочали операції whitehat-відновлення, щоб захистити кошти до того, як зловмисники зможуть отримати до них доступ.
Компанія заявила, що групи відновлення використовували той самий технічний шлях, який був використаний під час інциденту, що призвело до того, що деякі захисні транзакції були помилково сприйняті як додаткові крадіжки.
Згодом Keplr попередив, що певні гаманці з входом через Google та Apple можуть відображати зменшені або порожні баланси через ці захисні заходи. Стейкані та заблоковані активи потребують складніших процедур відновлення, що означає, що робота може зайняти більше часу.
Лі раніше заявляв, що більшість потенційно скомпрометованих акаунтів все ще можуть бути відновлені, хоча компанія не оголосила остаточну суму, захищену або повернуту користувачам.
Keplr публічно не встановив, чи отримають постраждалі клієнти відшкодування за підтверджені втрати.
Keplr радить користувачам соціального входу перемістити залишкові кошти
Для клієнтів, які створили гаманці за допомогою фраз відновлення або апаратних пристроїв, Keplr заявив, що інцидент не вплинув на їхні акаунти. Його останні рекомендації стосуються саме гаманців, створених через автентифікацію Google або Apple.
Компанія порадила користувачам соціального входу не надсилати додаткові кошти на потенційно скомпрометовані акаунти та вказала їм перемістити будь-які залишкові ліквідні активи на акаунти з фразою відновлення або апаратним гаманцем.
Вона працює з Web3Auth над методом, який дозволить клієнтам встановити, чи були їхні акаунти скомпрометовані. Користувачів попередили про небажані повідомлення та посилання, що нібито пропонують відновлення активів.
Інцидент стався після інших збоїв безпеки криптовалют, пов'язаних з обліковими даними гаманців. У липні crypto.news висвітлив компрометацію програмного забезпечення Injective, що включала шкідливий пакет розробника, який розкривав приватні ключі та фрази відновлення.
Жовтнева вразливість гаманця Qubic також стосувалася скомпрометованої безпеки гаманця, хоча слідчі відстежили цей інцидент до слабкостей у генерації seed, а не до сторонньої соціальної автентифікації.
Web3Auth і Keplr продовжують координувати захист і відновлення акаунтів, тоді як постачальник готує інформацію для відокремлення авторизованих транзакцій відновлення від переказів, пов'язаних зі зловмисником.
