A Keplr suspendeu os logins de carteira do Google e da Apple após uma violação de segurança envolvendo o Web3Auth que expôs as chaves privadas dos usuários, com investigadores de blockchain rastreando mais de US$ 6 milhões em transferências de mais de 44.000 carteiras.
Resumo
- A Keplr suspendeu os logins de carteira do Google e da Apple após a infraestrutura do Web3Auth expor as chaves privadas de alguns usuários.
- A Bitquery rastreou aproximadamente US$ 6,01 milhões em transferências envolvendo mais de 44.000 carteiras nas redes Cosmos.
- O cofundador da Keplr estimou que cerca de 20% das contas de login social foram potencialmente expostas, com menos efetivamente exploradas.
- A Web3Auth iniciou operações de recuperação whitehat, alertando que transferências de proteção podem se assemelhar a atividades não autorizadas de esvaziamento de carteiras.
- A Keplr aconselhou os usuários de login social a mover os ativos líquidos restantes para contas seguras de frase de recuperação ou carteira de hardware.
Em seu aviso de segurança de 7 de novembro, a Keplr Wallet confirmou ter recebido relatos de transações não autorizadas envolvendo contas criadas por meio de logins sociais. A empresa vinculou o incidente à Web3Auth, uma provedora de autenticação de carteira pertencente à Consensys, e começou a trabalhar com sua equipe para investigar as contas afetadas.
A violação deixou alguns usuários incapazes de acessar suas carteiras por meio do processo de login habitual, enquanto outros relataram fundos desaparecidos. O cofundador da Keplr, Josh Lee, estimou que cerca de 20% das contas de login do Google e da Apple da plataforma podem ser afetadas, embora tenha dito que apenas uma fração foi explorada.
Hack da Keplr Wallet rastreado até violação da infraestrutura do Web3Auth
O problema de segurança originou-se na infraestrutura operada pela Web3Auth, que permite aos usuários criar e acessar carteiras de criptomoedas por meio de contas online existentes sem gerenciar manualmente frases de recuperação durante o onboarding.
Lee explicou que o incidente não foi causado por um comprometimento do próprio código da carteira Keplr. Em vez disso, as contas afetadas dependiam de um serviço de autenticação externo que subsequentemente sofreu uma falha de segurança.
“Este não foi um hack do código da Keplr. O incidente originou-se na Web3Auth, uma provedora que a Keplr utiliza”, disse Lee.
A Web3Auth subsequentemente reconheceu um problema de infraestrutura afetando certas carteiras embutidas usadas pela Keplr. A empresa suspendeu temporariamente seu serviço de carteira embutida enquanto investigava a violação e identificava contas que precisavam de proteção.
“Após uma investigação inicial, não encontramos evidências de que usuários da MetaMask sejam afetados”, disse a provedora.
Embora a Web3Auth ofereça serviços de autenticação para aplicações de terceiros, a empresa não publicou uma lista completa de outras provedoras de carteira expostas à vulnerabilidade. Ela não explicou publicamente o ponto de entrada técnico que permitiu que as chaves privadas afetadas fossem comprometidas.
Dados de blockchain rastreiam US$ 6 milhões em milhares de carteiras
A empresa de inteligência de blockchain Bitquery rastreou aproximadamente US$ 6,01 milhões em ativos em dois endereços de coleta associados ao incidente de 6 a 7 de novembro.
Sua investigação identificou 44.041 carteiras em sete redes Cosmos, juntamente com 7.603 endereços afetados na Injective. Como algumas carteiras apareceram em várias redes, os pesquisadores estimaram aproximadamente 44.700 carteiras distintas afetadas após contabilizar endereços sobrepostos.
O Cosmos Hub foi responsável por aproximadamente US$ 3,5 milhões dos ativos registrados, com transferências adicionais envolvendo Osmosis, Celestia, Akash, Noble, Babylon, dYdX e Injective.
A investigação descobriu que aproximadamente 86% das carteiras afetadas nas sete redes vinculadas registraram transferências de saída após a Keplr emitir seu aviso inicial. Os pesquisadores registraram transações continuando no Cosmos Hub durante seu período de observação em 7 de novembro.
A Bitquery identificou transferências envolvendo 1,96 milhão de ATOM em staking, com as transações usando a tokenização de participação em staking para mover posições sem completar o período usual de 21 dias de unbonding.
No entanto, a Web3Auth divulgou posteriormente que equipes de recuperação autorizadas estavam movendo ativos por meio de caminhos de transação semelhantes.
Consequentemente, as transferências registradas não podem ser todas tratadas como perdas confirmadas sob controle do atacante sem distinguir endereços de recuperação de destinos maliciosos.
Web3Auth inicia recuperação whitehat para contas expostas
Com algumas contas vulneráveis ainda mantendo criptomoedas, a Web3Auth e seus parceiros iniciaram operações de recuperação whitehat para proteger os fundos antes que os atacantes possam acessá-los.
A empresa afirmou que as equipes de recuperação estavam usando a mesma rota técnica explorada durante o incidente, o que fez com que algumas transações de proteção fossem confundidas com roubo adicional.
A Keplr alertou posteriormente que certas carteiras de login do Google e da Apple podem exibir saldos reduzidos ou vazios por causa dessas medidas de proteção. Ativos em staking e bloqueados exigem procedimentos de recuperação mais complicados, o que significa que o trabalho pode levar mais tempo.
Lee havia dito anteriormente que a maioria das contas potencialmente expostas ainda poderia ser recuperável, embora a empresa não tenha anunciado um valor final garantido ou devolvido aos usuários.
A Keplr não estabeleceu publicamente se os clientes afetados receberão reembolso por perdas confirmadas.
Keplr orienta usuários de login social a mover fundos restantes
Para clientes que criaram carteiras usando frases de recuperação ou dispositivos de hardware, a Keplr afirmou que o incidente não afetou suas contas. Sua orientação mais recente diz respeito especificamente a carteiras criadas por meio de autenticação do Google ou da Apple.
A empresa aconselhou os usuários de login social a não enviar fundos adicionais para contas potencialmente comprometidas e instruiu-os a mover quaisquer ativos líquidos restantes para contas com frase de recuperação ou carteiras de hardware.
Ela está trabalhando com a Web3Auth em um método para que os clientes estabeleçam se suas contas foram afetadas. Os usuários foram alertados contra mensagens e links não solicitados que alegam oferecer recuperação de ativos.
O incidente segue outras falhas de segurança de criptomoedas envolvendo credenciais de carteiras. Em julho, o crypto.news cobriu um comprometimento de software da Injective envolvendo um pacote de desenvolvedor malicioso que expôs chaves privadas e frases de recuperação.
Uma vulnerabilidade da carteira Qubic em outubro também envolveu segurança de carteira comprometida, embora os investigadores tenham rastreado esse incidente até fraquezas na geração de seeds, em vez de autenticação social de terceiros.
A Web3Auth e a Keplr continuam coordenando a proteção e recuperação de contas, enquanto o provedor prepara informações para distinguir transações de recuperação autorizadas de transferências associadas ao atacante.
