Propust Web3Auth-a ugrozio Keplr novčanike sa Google i Apple prijavom
Bezbednosni propust u infrastrukturi kompanije Web3Auth ugrozio je deo Keplr kripto-novčanika kreiranih prijavom preko Google ili Apple naloga. Keplr navodi da je incident doveo do kompromitovanja privatnih ključeva, dok je GoPlus procenio da je ukradeno najmanje oko milion dolara. Web3Auth i Keplr su zatim prebacili sredstva iz drugih rizičnih novčanika u novčanike za oporavak.
Koji nalozi su bili izloženi
Rizik se odnosi na Keplr novčanike za koje je korišćena društvena prijava preko Google-a ili Apple-a, a čiju je prijavu obezbeđivao Web3Auth. Privatni ključ odobrava transakcije, pa njegovo otkrivanje napadaču omogućava premeštanje sredstava iz novčanika.
Keplr je obustavio Google i Apple prijavu tokom istrage. Novčanici napravljeni uz frazu za oporavak od 12 ili 24 reči, kao i hardverski novčanici, nisu pogođeni, navela je kompanija. Web3Auth je pauzirao i servis ugrađenih novčanika koji druge aplikacije koriste za izradu novčanika za svoje korisnike.
Zašto prazan saldo ne mora značiti krađu
Web3Auth je sa Keplr-om upotrebio put koji je koristio napadač kako bi pre njega ispraznio preostale izložene novčanike. Sredstva su premeštena u takozvane bezbedne novčanike za oporavak. Bitquery je zabeležio najmanje 6,01 milion dolara prenetih iz više od 44.000 novčanika u te adrese.
Bitquery je prvobitno transfere označio kao krađu, a potom je ispravio analizu i klasifikovao ih kao spasavanje sredstava. Ipak, kompanija navodi da ne može nezavisno da potvrdi ko kontroliše novčanike za oporavak. Prvi transferi zabeleženi su 21 minut pre prvog javnog obaveštenja Web3Auth-a, a 86% novčanika ispražnjeno je nakon upozorenja Keplr-a.
Koraci za pogođene korisnike
Keplr savetuje korisnicima naloga otvorenih društvenom prijavom da ne šalju nova sredstva na te adrese i da ne uvoze ponovo niti ponovo kreiraju nalog na drugom mestu. Raspoloživa sredstva koja nisu u stejkovanju ili zaključana treba prebaciti na novčanik sa frazom za oporavak ili na hardverski novčanik.
Zaključana i stejkowana sredstva zahtevaju više vremena za obezbeđivanje. Web3Auth je objavio listu adresa za oporavak kako bi korisnici razlikovali njegove transfere od potencijalno zlonamernih, uz upozorenje da nepoznata odredišna adresa nije automatski povezana s napadačem. Za poslovanje je ključna disciplina upravljanja ključevima: društvenu prijavu ne treba tretirati kao zamenu za nezavisnu frazu za oporavak, hardversku zaštitu i proveru obaveštenja isključivo na zvaničnim kanalima.