Гаманці Keplr із соціальним входом постраждали через вразливість безпеки Web3Auth

Вразливість Web3Auth торкнулася деяких гаманців Keplr із соціальним входом

Деякі користувачі Keplr, які створили гаманці через вхід за допомогою Google або Apple, постраждали через вразливість безпеки в інфраструктурі Web3Auth. Інцидент не описують як загальну компрометацію всіх гаманців Keplr: зазначена проблема стосується конкретного способу створення гаманця. Keplr запевняє, що акаунтам, створеним за допомогою фрази відновлення або апаратного гаманця, нічого не загрожує, чітко розмежовуючи акаунти із соціальним входом і ці інші типи гаманців.

Web3Auth надає інструменти входу, що дають змогу застосункам створювати криптогаманці через соціальні акаунти. 6 листопада компанія призупинила роботу вбудованого сервісу гаманців і перевела сервіс входу на технічне обслуговування. Спочатку компанія повідомила, що не виявила ознак впливу на користувачів MetaMask, які в жовтні зіткнулися з окремим інцидентом безпеки. Наступного дня Web3Auth встановила, що вразливість була у її власній інфраструктурі, і підтвердила, що постраждали деякі гаманці Keplr.

Після підтвердження Keplr вимкнув вхід через Google та Apple. Це обмежує використання відповідних способів входу, але в наданому повідомленні не зазначено, коли їх відновлять і чи вдалося захистити всі облікові записи, яких це стосується. За підрахунками Bitquery, постраждали близько 44 700 гаманців Keplr у восьми блокчейнах на базі Cosmos. Масштаб охоплює кілька мереж, однак сам по собі цей підрахунок не свідчить про те, скільки втратив кожен користувач або чи були спустошені всі гаманці, що потрапили до підрахунку.

Як інцидент вплинув на користувачів Keplr

Bitquery пов’язала зі спустошенням гаманців понад 6 мільйонів доларів і повідомила, що найбільша окрема втрата становила близько 325 000 доларів. Ці цифри описують ончейн-активність, виявлену під час відстеження, і їх не слід сприймати як підтверджену остаточну суму втрат користувачів. Web3Auth стверджує, що деякі адреси, які вважали гаманцями зловмисника, насправді є гаманцями для відновлення. Тож загальна сума, наведена в заголовках, може охоплювати кошти, переміщені на зберігання, хоча компанія не уточнила їхню частку.

Послідовність подій важлива для розуміння заходів у відповідь. Web3Auth повідомляє, що спільно з партнерами розпочала операцію білих капелюхів і вивела кошти з уразливих гаманців, перш ніж це зробив зловмисник, використовуючи той самий спосіб доступу. Тому без пояснень компанії ці перекази з таких гаманців могли скидатися на крадіжку. Компанія стверджує, що виявлені нею адреси призначення належать до її операції з відновлення коштів, але в першоджерелі немає повного звіту про кожен окремий переказ.

8 листопада Web3Auth опублікувала підтверджені адреси для Injective, dYdX, Babylon, Axelar, Saga, Agoric і восьми EVM-мереж. Кілька з цих адрес мають спільний ключ із гаманцями-збирачами, які Bitquery пов’язала зі спустошенням гаманців. Такий збіг допомагає пояснити, чому деяку активність сприйняли як дії під контролем зловмисника. Однак сам по собі він не встановлює остаточний статус чи власника кожного відстежуваного активу; Web3Auth стверджує, що виявлені адреси використовуються для відновлення коштів.

Гаманці для відновлення ускладнюють картину в блокчейні

Web3Auth заявляє, що кошти, відновлені в межах цієї операції, у безпеці, і що компанія працює з Keplr над способом їх повернення. Вона не повідомила, яку частину загальної суми, відстеженої Bitquery, їй вдалося забезпечити, тож користувачі й спостерігачі поки не можуть звірити суму понад 6 мільйонів доларів із коштами, що перебувають на відповідальному зберіганні. Заявлені зусилля з повернення коштів обнадіюють постраждалих користувачів, однак сума, строки та точний процес розподілу коштів, згідно з наявною інформацією, залишаються невизначеними.

Цей епізод також показує, чому під час активного інциденту буває складно тлумачити мітки переказів із гаманців. Переказ із вразливої адреси може бути дією зловмисника або захисним кроком команди реагування; у цьому випадку Web3Auth повідомляє, що її команда скористалася тим самим способом доступу, що й зловмисник. Публікація перевірених адрес дає змогу визначити деякі гаманці для повернення коштів, але не замінює повного звіту й не підтверджує призначення кожного постраждалого балансу.

Web3Auth застерегла користувачів від шахраїв, які пропонують фальшиву допомогу з поверненням коштів. Це застереження особливо актуальне, коли користувачі чекають на офіційну процедуру повернення й до них можуть звертатися люди, які стверджують, що здатні відновити кошти. Компанія повідомляє, що координує дії з Keplr, але в джерелі не наведено конкретних інструкцій щодо повернення коштів або строків. Користувачам слід відрізняти оголошену роботу з повернення коштів від непроханих пропозицій і не сприймати неофіційні заяви як доказ доступу до коштів.

Повернення коштів і ширші питання безпеки

Реакція Keplr також важлива для користувачів, які входять за допомогою соцмереж, а не фрази відновлення чи апаратного гаманця. Команда гаманця повідомляє, що ці два останні типи облікових записів не постраждали від інциденту, тоді як вхід через Google і Apple вимкнули після підтвердження вразливості. У повідомленні не описано заходів для відновлення доступу до окремих облікових записів і не пояснено, чи потрібно постраждалим користувачам робити додаткові кроки. Різниця між способами налаштування гаманця — це найчіткіша рекомендація, наведена в описі інциденту.

Інцидент стався після потрясінь в екосистемі Cosmos на початку року: згідно з наданою інформацією, закриття Leap Wallet змусило багатьох користувачів Cosmos перейти на Keplr. Ця історія пояснює, чому проблема безпеки Keplr може мати значення для всієї спільноти, але не доводить, що закриття Leap спричинило вразливість або втрати. Інші проєкти також намагалися заспокоїти користувачів: PancakeSwap заявив, що його кошти та смартконтракти залишилися в безпеці.

Випадок із Keplr доповнює ширшу низку інцидентів безпеки, згаданих у звіті, зокрема викрадення північнокорейськими хакерами 7,61 мільярда доларів у 2026 році та нещодавнє спустошення зловмисником понад 1 400 гаманців Qubic. Ці приклади окреслюють ширший контекст загроз безпеці, але не свідчать про зв’язок із вразливістю Web3Auth. Головні питання, що залишаються без відповіді: яку частину криптоактивів, що відстежувалися, захищав Web3Auth, як повернуть відновлені активи та коли можна буде безпечно знову ввімкнути вимкнені способи входу.

Джерело: BeInCrypto