Keplr zawiesił logowanie do portfeli przez Google i Apple po naruszeniu bezpieczeństwa z udziałem Web3Auth, które ujawniło klucze prywatne użytkowników, a śledczy blockchaina prześledzili transfery o wartości ponad 6 milionów dolarów z ponad 44 000 portfeli.
Podsumowanie
- Keplr zawiesił logowanie do portfeli przez Google i Apple po tym, jak infrastruktura Web3Auth ujawniła klucze prywatne niektórych użytkowników.
- Bitquery prześledził transfery o wartości około 6,01 miliona dolarów obejmujące ponad 44 000 portfeli w sieciach Cosmos.
- Współzałożyciel Keplr oszacował, że około 20% kont z logowaniem społecznościowym mogło zostać potencjalnie ujawnionych, przy czym faktycznie wykorzystano mniej.
- Web3Auth rozpoczął operacje odzyskiwania w ramach whitehat, ostrzegając, że transfery ochronne mogą przypominać nieautoryzowane działania polegające na opróżnianiu portfeli.
- Keplr zalecił użytkownikom logowania społecznościowego przeniesienie pozostałych płynnych aktywów do bezpiecznych kont opartych na frazie odzyskiwania lub portfeli sprzętowych.
W swoim powiadomieniu bezpieczeństwa z 7 listopada Keplr Wallet potwierdził otrzymanie zgłoszeń o nieautoryzowanych transakcjach dotyczących kont utworzonych za pośrednictwem logowania społecznościowego. Firma powiązała incydent z Web3Auth, dostawcą uwierzytelniania portfeli należącym do Consensys, i rozpoczęła współpracę z jego zespołem w celu zbadania dotkniętych kont.
Naruszenie sprawiło, że niektórzy użytkownicy nie mogą uzyskać dostępu do swoich portfeli za pomocą zwykłego procesu logowania, a inni zgłosili brakujące środki. Współzałożyciel Keplr Josh Lee oszacował, że około 20% kont platformy z logowaniem przez Google i Apple może być dotkniętych, choć stwierdził, że wykorzystano tylko ich część.
Hakowanie portfela Keplr powiązane z naruszeniem infrastruktury Web3Auth
Problem bezpieczeństwa powstał w infrastrukturze obsługiwanej przez Web3Auth, która pozwala użytkownikom tworzyć portfele kryptowalut i uzyskiwać do nich dostęp za pośrednictwem istniejących kont online bez ręcznego zarządzania frazami odzyskiwania podczas wdrażania.
Lee wyjaśnił, że incydent nie został spowodowany naruszeniem własnego kodu portfela Keplr. Zamiast tego dotknięte konta polegały na zewnętrznej usłudze uwierzytelniania, która następnie doświadczyła awarii bezpieczeństwa.
„To nie było hakowanie kodu Keplr. Incydent powstał w Web3Auth, dostawcy, którego używa Keplr” — powiedział Lee.
Web3Auth następnie potwierdził problem infrastrukturalny dotykający niektórych osadzonych portfeli używanych przez Keplr. Firma tymczasowo zawiesiła swoją usługę osadzonych portfeli podczas badania naruszenia i identyfikowania kont wymagających ochrony.
„Po wstępnym dochodzeniu nie znaleźliśmy dowodów na to, że użytkownicy MetaMask są dotknięci” — powiedział dostawca.
Chociaż Web3Auth obsługuje usługi uwierzytelniania dla aplikacji stron trzecich, firma nie opublikowała pełnej listy innych dostawców portfeli narażonych na tę lukę. Nie wyjaśniła publicznie technicznego punktu wejścia, który pozwolił na naruszenie dotkniętych kluczy prywatnych.
Dane blockchaina śledzą 6 mln dolarów w tysiącach portfeli
Firma zajmująca się analizą blockchaina Bitquery prześledziła aktywa o wartości około 6,01 miliona dolarów na dwóch adresach zbierających powiązanych z incydentem z 6–7 listopada.
Jej dochodzenie zidentyfikowało 44 041 portfeli w siedmiu sieciach Cosmos, a także 7603 dotknięte adresy w Injective. Ponieważ niektóre portfele pojawiały się w wielu sieciach, badacze oszacowali około 44 700 odrębnych dotkniętych portfeli po uwzględnieniu nakładających się adresów.
Cosmos Hub odpowiadał za około 3,5 miliona dolarów zarejestrowanych aktywów, a dodatkowe transfery dotyczyły Osmosis, Celestia, Akash, Noble, Babylon, dYdX i Injective.
Śledztwo wykazało, że około 86% dotkniętych portfeli w siedmiu powiązanych sieciach doświadczyło transferów wychodzących po tym, jak Keplr wydał swoje wstępne ostrzeżenie. Badacze odnotowali transakcje kontynuowane w Cosmos Hub podczas ich okresu obserwacji z 7 listopada.
Bitquery zidentyfikował transfery obejmujące 1,96 miliona zastakowanych ATOM, przy czym transakcje wykorzystywały tokenizację udziałów stakingowych do przenoszenia pozycji bez ukończenia zwykłego 21-dniowego okresu odblokowania.
Jednak Web3Auth następnie ujawnił, że upoważnione zespoły ds. odzyskiwania przenosiły aktywa podobnymi ścieżkami transakcji.
W konsekwencji zarejestrowanych transferów nie można wszystkich traktować jako potwierdzonych strat kontrolowanych przez atakującego bez odróżnienia adresów odzyskiwania od złośliwych miejsc docelowych.
Web3Auth rozpoczyna whitehat odzyskiwanie dla ujawnionych kont
Ponieważ niektóre podatne konta nadal przechowują kryptowaluty, Web3Auth i jego partnerzy rozpoczęli operacje whitehat odzyskiwania, aby chronić środki, zanim atakujący uzyskają do nich dostęp.
Firma poinformowała, że zespoły ds. odzyskiwania korzystały z tej samej ścieżki technicznej wykorzystanej podczas incydentu, co spowodowało, że niektóre transakcje ochronne zostały pomylone z dodatkową kradzieżą.
Keplr następnie ostrzegł, że niektóre portfele logowania Google i Apple mogą wyświetlać zmniejszone lub puste salda z powodu tych środków ochronnych. Zastakowane i zablokowane aktywa wymagają bardziej skomplikowanych procedur odzyskiwania, co oznacza, że praca może potrwać dłużej.
Lee wcześniej powiedział, że większość potencjalnie ujawnionych kont może być nadal odzyskiwalna, chociaż firma nie ogłosiła ostatecznej kwoty zabezpieczonej lub zwróconej użytkownikom.
Keplr nie ustalił publicznie, czy dotknięci klienci otrzymają zwrot za potwierdzone straty.
Keplr zaleca użytkownikom logowania społecznościowego przeniesienie pozostałych środków
W przypadku klientów, którzy utworzyli portfele za pomocą fraz odzyskiwania lub urządzeń sprzętowych, Keplr poinformował, że incydent nie dotknął ich kont. Najnowsze wytyczne dotyczą konkretnie portfeli utworzonych przez uwierzytelnianie Google lub Apple.
Firma odradzała użytkownikom logowania społecznościowego wysyłanie dodatkowych środków na potencjalnie zagrożone konta i poleciła im przenieść wszelkie pozostałe płynne aktywa na konta z frazą odzyskiwania lub portfelem sprzętowym.
Współpracuje z Web3Auth nad metodą, dzięki której klienci mogą ustalić, czy ich konta zostały dotknięte. Użytkownicy zostali ostrzeżeni przed niechcianymi wiadomościami i linkami twierdzącymi, że oferują odzyskiwanie aktywów.
Incydent następuje po innych awariach bezpieczeństwa kryptowalut związanych z danymi uwierzytelniającymi portfeli. W lipcu crypto.news opisał kompromitację oprogramowania Injective obejmującą złośliwy pakiet deweloperski, który ujawnił klucze prywatne i frazy odzyskiwania.
Październikowa luka w zabezpieczeniach portfela Qubic podobnie obejmowała skompromitowane bezpieczeństwo portfela, chociaż śledczy przypisali ten incydent słabościom w generowaniu ziarna, a nie uwierzytelnianiu społecznościowemu stron trzecich.
Web3Auth i Keplr kontynuują koordynację ochrony i odzyskiwania kont, podczas gdy dostawca przygotowuje informacje, aby odróżnić autoryzowane transakcje odzyskiwania od transferów związanych z atakującym.
