Portfele Keplr z logowaniem przez media społecznościowe dotknięte luką bezpieczeństwa w Web3Auth

Luka w Web3Auth dotknęła niektóre portfele Keplr z logowaniem przez media społecznościowe

Niektórzy użytkownicy Keplr, którzy utworzyli portfele za pomocą logowania przez Google lub Apple, zostali dotknięci luką bezpieczeństwa w infrastrukturze zapewnianej przez Web3Auth. Incydent nie jest przedstawiany jako ogólne naruszenie bezpieczeństwa wszystkich portfeli Keplr: wskazane zagrożenie dotyczy konkretnego sposobu tworzenia portfela. Keplr informuje, że konta utworzone przy użyciu frazy odzyskiwania lub portfela sprzętowego nie są zagrożone, wyraźnie odróżniając konta z logowaniem przez media społecznościowe od pozostałych konfiguracji portfela.

Web3Auth udostępnia narzędzia logowania, które pozwalają aplikacjom tworzyć portfele kryptowalutowe za pośrednictwem kont w mediach społecznościowych. 6 listopada firma wstrzymała działanie swojej usługi portfela wbudowanego i przełączyła usługę logowania w tryb konserwacji. Początkowo poinformowała, że nie ma oznak wpływu na użytkowników MetaMask, którzy w październiku doświadczyli odrębnego incydentu związanego z bezpieczeństwem. Dzień później Web3Auth ustaliła, że luka znajdowała się w jej własnej infrastrukturze, i potwierdziła, że dotknęła niektóre portfele Keplr.

Po potwierdzeniu Keplr wyłączył logowanie przez Google i Apple. Ogranicza to korzystanie z tych opcji logowania, ale w przekazanych informacjach nie podano, kiedy zostaną przywrócone ani czy zabezpieczono wszystkie konta, których dotyczył problem. Bitquery naliczyło około 44 700 portfeli Keplr, których dotyczył incydent, w ośmiu łańcuchach opartych na Cosmosie. Skala obejmuje wiele sieci, jednak sama liczba nie przesądza o tym, ile stracił każdy użytkownik ani czy opróżniono wszystkie uwzględnione portfele.

Jak incydent wpłynął na użytkowników Keplr

Bitquery powiązało z opróżnianiem portfeli ponad 6 mln dolarów i podało, że największa pojedyncza strata wyniosła około 325 000 dolarów. Dane te opisują aktywność w łańcuchu wykrytą podczas monitorowania i nie należy ich traktować jako potwierdzonej ostatecznej straty użytkowników. Web3Auth twierdzi, że niektóre adresy uznane za portfele atakującego w rzeczywistości należą do jego portfeli odzyskiwania. W rezultacie podana łączna kwota może obejmować środki przeniesione pod opiekę w celu ich zabezpieczenia, choć firma nie określiła, jaka część tej kwoty dotyczy takich środków.

Kolejność zdarzeń ma znaczenie dla zrozumienia podjętych działań. Web3Auth twierdzi, że wraz z partnerami rozpoczęło operację whitehat i przeniosło środki z podatnych portfeli, zanim dotarł do nich atakujący, korzystając z tej samej ścieżki dostępu. Bez wyjaśnień firmy przelewy z tych portfeli mogły więc wyglądać na kradzież. Firma twierdzi, że zidentyfikowane przez nią adresy docelowe należą do operacji odzyskiwania środków, ale w źródle nie przedstawiono pełnego zestawienia każdej transakcji.

8 listopada Web3Auth opublikowało zweryfikowane adresy obejmujące Injective, dYdX, Babylon, Axelar, Saga, Agoric i osiem łańcuchów EVM. Kilka z tych adresów ma wspólny klucz z portfelami zbierającymi środki, które Bitquery powiązało z ich opróżnianiem. To nakładanie się pomaga wyjaśnić, dlaczego część aktywności uznano za kontrolowaną przez atakującego. Samo w sobie nie przesądza jednak o ostatecznym statusie ani własności każdego śledzonego aktywa; Web3Auth twierdzi, że wskazane adresy służą do odzyskiwania środków.

Portfele odzyskiwania komplikują obraz sytuacji w łańcuchu bloków

Web3Auth twierdzi, że środki odzyskane w ramach tej operacji są bezpieczne i że współpracuje z Keplr nad sposobem ich zwrotu. Nie ujawniono, jaką część łącznej kwoty śledzonej przez Bitquery udało się zabezpieczyć, dlatego użytkownicy i obserwatorzy nie mogą jeszcze uzgodnić podanej kwoty przekraczającej 6 mln dolarów z sumą środków przechowywanych w bezpiecznym miejscu. Deklarowane działania mające na celu odzyskanie środków napawają nadzieją osoby dotknięte sprawą, jednak dostępne informacje nie wyjaśniają, jaka jest kwota, termin ani dokładny sposób ich przekazania.

Incydent pokazuje również, dlaczego etykiety przelewów z portfeli mogą być trudne do zinterpretowania w trakcie trwającego incydentu. Przelew z zagrożonego adresu może być działaniem napastnika albo środkiem ochronnym podjętym przez zespół reagowania; w tym przypadku Web3Auth twierdzi, że jego zespół skorzystał z tej samej ścieżki dostępu co napastnik. Opublikowanie zweryfikowanych adresów pozwala zidentyfikować niektóre portfele służące do odzyskiwania środków, ale nie zastępuje pełnego rozliczenia ani nie potwierdza miejsca docelowego każdego z zagrożonych sald.

Web3Auth ostrzegł użytkowników przed oszustami podszywającymi się pod osoby oferujące fałszywą pomoc w odzyskiwaniu środków. To praktyczne ostrzeżenie w sytuacji, gdy użytkownicy czekają na oficjalną procedurę zwrotu i mogą zgłaszać się do nich osoby twierdzące, że potrafią odzyskać środki. Firma informuje, że współpracuje z Keplr, ale źródło nie podaje konkretnych instrukcji odzyskiwania ani terminu. Użytkownicy powinni odróżniać ogłoszone działania naprawcze od niezamówionych ofert i nie traktować nieformalnych zapewnień jako dowodu dostępu do środków.

Odzyskiwanie środków i szersze kwestie bezpieczeństwa

Reakcja Keplr ma również znaczenie dla użytkowników, którzy logują się za pomocą kont społecznościowych, zamiast korzystać z frazy odzyskiwania lub portfela sprzętowego. Zespół portfela twierdzi, że te dwa ostatnie typy kont nie są zagrożone w związku z tym incydentem, natomiast logowanie przez Google i Apple zostało wyłączone po potwierdzeniu luki. Informacje nie opisują działań naprawczych dotyczących poszczególnych kont ani nie wyjaśniają, czy użytkownicy, których dotyczy problem, muszą podjąć dodatkowe kroki. Rozróżnienie rodzajów konfiguracji portfela stanowi najjaśniejszą wskazówkę zawartą w opisie incydentu.

Incydent nastąpił po zakłóceniach w ekosystemie Cosmos na początku roku: zamknięcie Leap Wallet skłoniło wielu użytkowników Cosmos do przejścia na Keplr, zgodnie z dostarczonym opisem. Ta historia wyjaśnia, dlaczego problem z bezpieczeństwem Keplr może mieć znaczenie dla całej społeczności, ale nie dowodzi, że zamknięcie Leap spowodowało lukę lub straty. Inne projekty również starały się uspokoić użytkowników; PancakeSwap poinformował, że jego środki i inteligentne kontrakty pozostały bezpieczne.

Sprawa Keplr dołącza do szerszej serii incydentów bezpieczeństwa wymienionych w raporcie, w tym kradzieży 7,61 mld dolarów w 2026 roku przez północnokoreańskich hakerów oraz niedawnego opróżnienia przez napastnika ponad 1400 portfeli Qubic. Przykłady te ukazują szerszy kontekst zagrożeń, ale nie wskazują na związek z luką Web3Auth. Najważniejsze nierozstrzygnięte kwestie to wartość kryptowalut objętych ochroną Web3Auth, sposób zwrotu odzyskanych aktywów oraz termin bezpiecznego przywrócenia wyłączonych opcji logowania.

Źródło: BeInCrypto