Keplr приостановил вход в кошелек через Google и Apple после нарушения безопасности, связанного с Web3Auth, которое привело к раскрытию приватных ключей пользователей, а блокчейн-исследователи отследили переводы на сумму более 6 миллионов долларов с более чем 44 000 кошельков.
Краткое содержание
- Keplr приостановил вход в кошелек через Google и Apple после того, как инфраструктура Web3Auth раскрыла приватные ключи некоторых пользователей.
- Bitquery отследила переводы на сумму около 6,01 миллиона долларов, связанные с более чем 44 000 кошельков в сетях Cosmos.
- Соучредитель Keplr оценил, что примерно 20% учетных записей с социальным входом могли быть скомпрометированы, при этом фактически эксплуатировалась лишь часть из них.
- Web3Auth начал операции по восстановлению силами «белых хакеров», предупредив, что защитные переводы могут быть похожи на несанкционированное опустошение кошельков.
- Keplr рекомендовал пользователям социального входа перевести оставшиеся ликвидные активы на защищенные учетные записи с recovery-фразой или аппаратным кошельком.
В своем уведомлении о безопасности от 7 ноября Keplr Wallet подтвердил получение сообщений о несанкционированных транзакциях, связанных с учетными записями, созданными через социальные входы. Компания связала инцидент с Web3Auth — поставщиком аутентификации кошельков, принадлежащим Consensys, — и начала работать со своей командой над расследованием затронутых учетных записей.
Из-за утечки некоторые пользователи не смогли получить доступ к своим кошелькам через обычный процесс входа, а другие сообщили о пропаже средств. Соучредитель Keplr Джош Ли оценил, что примерно 20% учетных записей платформы с входом через Google и Apple могли быть затронуты, хотя, по его словам, эксплуатировалась лишь часть из них.
Взлом кошелька Keplr связан с нарушением инфраструктуры Web3Auth
Проблема безопасности возникла в инфраструктуре, управляемой Web3Auth, которая позволяет пользователям создавать криптовалютные кошельки и получать к ним доступ через существующие онлайн-аккаунты без ручного управления recovery-фразами при регистрации.
Ли объяснил, что инцидент не был вызван компрометацией собственного кода кошелька Keplr. Вместо этого затронутые учетные записи полагались на внешний сервис аутентификации, который впоследствии столкнулся с отказом безопасности.
«Это был не взлом кода Keplr. Инцидент произошел в Web3Auth — провайдере, которого использует Keplr», — сказал Ли.
Впоследствии Web3Auth признал проблему инфраструктуры, затронувшую некоторые встроенные кошельки, используемые Keplr. Компания временно приостановила работу своего сервиса встроенных кошельков, пока расследовала утечку и выявляла учетные записи, нуждающиеся в защите.
«После первоначального расследования мы не нашли доказательств того, что пользователи MetaMask пострадали», — заявил провайдер.
Хотя Web3Auth предоставляет услуги аутентификации для сторонних приложений, компания не опубликовала полный список других поставщиков кошельков, подверженных уязвимости. Она также публично не объяснила техническую точку входа, которая позволила скомпрометировать затронутые приватные ключи.
Блокчейн-данные отслеживают 6 млн долларов по тысячам кошельков
Компания блокчейн-аналитики Bitquery отследила активы на сумму около 6,01 миллиона долларов по двум адресам сбора, связанным с инцидентом 6–7 ноября.
В ходе расследования было выявлено 44 041 кошелек в семи сетях Cosmos, а также 7 603 затронутых адреса в Injective. Поскольку некоторые кошельки появлялись в нескольких сетях, исследователи оценили примерно 44 700 уникальных затронутых кошельков после учета пересекающихся адресов.
На Cosmos Hub пришлось около 3,5 млн долларов из зафиксированных активов, а дополнительные переводы затрагивали Osmosis, Celestia, Akash, Noble, Babylon, dYdX и Injective.
Расследование показало, что примерно 86% затронутых кошельков в семи связанных сетях совершили исходящие переводы после того, как Keplr выпустил первоначальное предупреждение. Исследователи зафиксировали транзакции, продолжавшиеся в Cosmos Hub в течение их периода наблюдения 7 ноября.
Bitquery выявила переводы, затрагивающие 1,96 млн стейкингованных ATOM, причём транзакции использовали токенизацию долей стейкинга для перемещения позиций без завершения обычного 21-дневного периода анбондинга.
Однако впоследствии Web3Auth раскрыла, что уполномоченные команды восстановления перемещали активы через аналогичные транзакционные пути.
Следовательно, зафиксированные переводы нельзя все рассматривать как подтверждённые потери, контролируемые злоумышленником, без различения адресов восстановления от вредоносных получателей.
Web3Auth начинает whitehat-восстановление для скомпрометированных аккаунтов
Поскольку некоторые уязвимые аккаунты всё ещё содержат криптовалюту, Web3Auth и её партнёры начали операции whitehat-восстановления, чтобы защитить средства до того, как злоумышленники смогут получить к ним доступ.
Компания сообщила, что команды восстановления использовали тот же технический маршрут, который был использован во время инцидента, из-за чего некоторые защитные транзакции были ошибочно приняты за дополнительную кражу.
Впоследствии Keplr предупредил, что некоторые кошельки с входом через Google и Apple могут отображать уменьшенные или пустые балансы из-за этих защитных мер. Для стейкингованных и заблокированных активов требуются более сложные процедуры восстановления, а значит, работа может занять больше времени.
Ли ранее заявлял, что большинство потенциально скомпрометированных аккаунтов, возможно, всё ещё подлежат восстановлению, хотя компания не объявила окончательную сумму, которую удалось обезопасить или вернуть пользователям.
Keplr публично не установил, получат ли пострадавшие клиенты возмещение за подтверждённые потери.
Keplr советует пользователям социального входа переместить оставшиеся средства
Для клиентов, создавших кошельки с помощью фраз восстановления или аппаратных устройств, Keplr заявил, что инцидент не затронул их аккаунты. Его последние рекомендации касаются именно кошельков, созданных через аутентификацию Google или Apple.
Компания рекомендовала пользователям социального входа не отправлять дополнительные средства на потенциально скомпрометированные аккаунты и предписала им переместить любые оставшиеся ликвидные активы на аккаунты с фразой восстановления или аппаратным кошельком.
Она работает с Web3Auth над методом, позволяющим клиентам установить, были ли затронуты их аккаунты. Пользователей предупредили о нежелательных сообщениях и ссылках, предлагающих восстановление активов.
Инцидент последовал за другими сбоями безопасности криптовалют, связанными с учётными данными кошельков. В июле crypto.news освещал компрометацию программного обеспечения Injective, связанную с вредоносным пакетом разработчика, который раскрывал приватные ключи и фразы восстановления.
Октябрьская уязвимость кошелька Qubic аналогичным образом была связана с компрометацией безопасности кошелька, хотя следователи связали этот инцидент со слабостями в генерации seed, а не со сторонней социальной аутентификацией.
Web3Auth и Keplr продолжают координировать защиту и восстановление аккаунтов, пока провайдер готовит информацию для различения авторизованных транзакций восстановления от переводов, связанных со злоумышленником.
