Кошельки Keplr с входом через соцсети затронуты уязвимостью Web3Auth

Уязвимость Web3Auth затронула некоторые кошельки Keplr с входом через соцсети

Уязвимость в инфраструктуре Web3Auth затронула некоторых пользователей Keplr, создавших кошельки через вход с помощью Google или Apple. Инцидент не описывается как общий взлом всех кошельков Keplr: речь идёт о риске, связанном с определённым способом создания кошелька. Keplr заявляет, что аккаунтам, созданным с помощью фразы восстановления или аппаратного кошелька, ничего не угрожает, чётко отделяя аккаунты с входом через соцсети от этих других способов настройки кошелька.

Web3Auth предоставляет инструменты входа, позволяющие приложениям создавать криптокошельки через аккаунты в соцсетях. 6 ноября компания приостановила работу сервиса встроенных кошельков и перевела сервис входа в режим технического обслуживания. Первоначально компания сообщила, что не обнаружила признаков воздействия на пользователей MetaMask, которые в октябре столкнулись с отдельным инцидентом безопасности. На следующий день Web3Auth установила, что уязвимость связана с её собственной инфраструктурой, и подтвердила, что затронуты некоторые кошельки Keplr.

После подтверждения Keplr отключила вход через Google и Apple. Это ограничивает использование затронутых способов входа, однако в предоставленных данных не указано, когда их восстановят и удалось ли защитить все затронутые аккаунты. По подсчётам Bitquery, пострадало около 44 700 кошельков Keplr в восьми сетях на базе Cosmos. Инцидент затронул несколько сетей, однако сама по себе эта цифра не показывает, сколько потерял каждый пользователь и были ли опустошены все учтённые кошельки.

Как инцидент затронул пользователей Keplr

Bitquery связала с выводом средств сумму свыше 6 миллионов долларов и сообщила, что крупнейшая единичная потеря составила около 325 000 долларов. Эти цифры отражают активность в блокчейне, выявленную в ходе отслеживания, и не должны восприниматься как подтверждённая итоговая сумма потерь пользователей. Web3Auth заявляет, что некоторые адреса, принятые за кошельки злоумышленников, на самом деле являются кошельками для восстановления доступа. Поэтому в итоговую сумму могли войти средства, перемещённые на хранение, хотя компания не сообщила, какова их доля.

Последовательность событий важна для понимания принятых мер. Web3Auth заявляет, что вместе с партнёрами начала операцию по спасению средств и вывела их из уязвимых кошельков до того, как туда добрался злоумышленник, используя тот же способ доступа. Поэтому без объяснений компании переводы с этих кошельков могли выглядеть как кража. По словам компании, указанные ею адреса-получатели принадлежат к операции по восстановлению средств, однако в источнике нет полного отчёта о каждом переводе.

8 ноября Web3Auth опубликовала подтверждённые адреса для Injective, dYdX, Babylon, Axelar, Saga, Agoric и восьми EVM-сетей. Несколько этих адресов используют тот же ключ, что и кошельки-сборщики, которые Bitquery связала с выводом средств. Такое совпадение помогает объяснить, почему часть активности сочли контролируемой злоумышленниками. Однако само по себе оно не устанавливает окончательный статус или принадлежность каждого отслеживаемого актива; Web3Auth заявляет, что указанные адреса используются для восстановления средств.

Кошельки для восстановления усложняют картину в блокчейне

Web3Auth заявляет, что средства, возвращённые в ходе операции, находятся в безопасности и что компания совместно с Keplr работает над способом их возврата. При этом она не сообщила, какую часть общей суммы, отслеживаемой Bitquery, удалось обеспечить, поэтому пользователи и наблюдатели пока не могут сопоставить цифру «более 6 миллионов долларов» со средствами, переданными на ответственное хранение. Заявленные усилия по возврату средств обнадёживают пострадавших пользователей, однако доступная информация не проясняет сумму, сроки и точный порядок их распределения.

Этот инцидент также показывает, почему метки переводов между кошельками бывает сложно интерпретировать во время активного инцидента. Перевод с уязвимого адреса может быть как действием злоумышленника, так и защитной мерой команды реагирования; в данном случае Web3Auth сообщает, что её команда использовала тот же способ доступа, что и злоумышленник. Публикация проверенных адресов позволяет определить некоторые кошельки для восстановления средств, но не заменяет полной отчётности и не подтверждает, куда были переведены все затронутые средства.

Web3Auth предупредила пользователей о мошенниках, выдающих себя за специалистов и предлагающих поддельную помощь с восстановлением средств. Такое предупреждение особенно важно, когда пользователи ждут официального процесса возврата средств и к ним могут обращаться люди, утверждающие, что способны вернуть деньги. Компания сообщает, что координирует действия с Keplr, однако в источнике не приводятся конкретные инструкции по восстановлению или сроки. Пользователям следует отличать объявленные меры по восстановлению от незапрошенных предложений и не считать неофициальные заявления доказательством доступа к средствам.

Возврат средств и более широкие вопросы безопасности

Ответ Keplr также важен для пользователей, которые входят в кошелёк через социальные сети, а не с помощью фразы восстановления или аппаратного кошелька. Команда кошелька сообщает, что учётные записи двух последних типов не подвергались риску в результате этого инцидента, тогда как вход через Google и Apple отключили после подтверждения уязвимости. В сообщении не описаны меры по устранению последствий для отдельных учётных записей и не объясняется, нужно ли пострадавшим пользователям предпринимать дополнительные действия. Различие в способах настройки кошелька — самая чёткая рекомендация, приведённая в описании инцидента.

Инцидент произошёл после потрясений в экосистеме Cosmos в начале года: согласно предоставленным сведениям, закрытие Leap Wallet подтолкнуло многих пользователей Cosmos перейти на Keplr. Эта история объясняет, почему проблема безопасности Keplr может иметь значение для всего сообщества, но не доказывает, что закрытие Leap вызвало уязвимость или привело к потерям. Другие проекты также старались успокоить пользователей: PancakeSwap заявил, что его средства и смарт-контракты остаются в безопасности.

Случай с Keplr дополняет более широкую череду инцидентов безопасности, упомянутых в отчёте, включая кражу северокорейскими хакерами 7,61 млрд долларов в 2026 году и недавнее опустошение злоумышленником более 1 400 кошельков Qubic. Эти примеры показывают общий контекст угроз безопасности, но не свидетельствуют о связи с уязвимостью Web3Auth. Главные вопросы, на которые пока нет ответа: какой объём отслеживаемой криптовалюты защищал Web3Auth, как будут возвращены обнаруженные активы и когда отключённые способы входа можно будет безопасно восстановить.

Источник: BeInCrypto