Уязвимость Web3Auth ударила по кошелькам Keplr: команда спасла около $5,6 млн, реальный ущерб неизвестен

Команда Web3Auth, сервиса входа в криптокошельки через аккаунты Google и Apple, сообщила, что опередила злоумышленников и перевела около $5,6 млн из уязвимых кошельков Keplr на защищённые адреса. Уязвимость оказалась не в самом Keplr, а в инфраструктуре Web3Auth, которая принадлежит Consensys: атакующие получили доступ к закрытым ключам части пользователей, создавших кошелёк через «вход с Google/Apple».

Пользователи, у которых кошелёк Keplr создан по сид-фразе или подключён к аппаратному устройству, по данным Keplr, не пострадали.

Как развивались события

• 6 ноября Web3Auth отключила сервис встроенных кошельков.
• 7 ноября аналитическая компания Bitquery сообщила о выводе более $6 млн примерно с 44 700 уникальных кошельков Keplr — в семи сетях экосистемы Cosmos и в Injective. В тот же день Web3Auth начала «спасательную» операцию: команда входила в уязвимые аккаунты тем же способом, что и атакующий, и переводила средства на свои адреса, чтобы потом вернуть их владельцам.
• 8 ноября Web3Auth опубликовала 12 адресов со спасёнными средствами. Больше всего пришлось на Cosmos Hub — около 2,49 млн ATOM (примерно $3,3 млн). Многие монеты были в стейкинге, и, чтобы не ждать 21 день до разблокировки, команда обменяла их на ликвидные токены.

Сооснователь Keplr Джош Ли заявил, что код кошелька не взламывали. По его оценке, проблема затронула около 20% аккаунтов, созданных через Google или Apple, но злоумышленники воспользовались лишь частью из них.

Что пока неясно

Реальный размер кражи до сих пор неизвестен. По данным The Block, на которые ссылается ForkLog, список адресов Web3Auth включает все восемь адресов, которые Bitquery ранее связала с хакером. Это значит, что часть переводов, принятых за кражу, на самом деле была спасением средств. При этом Web3Auth упоминает «первоначального злоумышленника», но не раскрывает, сколько кошельков он успел опустошить и какую сумму похитил.

Разработчики утверждают, что спасённые активы в безопасности, и вместе с Keplr ищут способ вернуть их владельцам. Сроки возврата не названы.

Что советуют пользователям

Keplr рекомендует тем, кто входил в кошелёк через Google или Apple:

1. не пополнять эти кошельки;
2. перевести оставшиеся средства на адрес с сид-фразой или с аппаратной защитой;
3. остерегаться мошенников, которые предлагают «помочь с возвратом» активов.

Инцидент стал ещё одним в череде атак на инфраструктуру вокруг кошельков: в последние недели пользователи теряли средства из-за взлома платёжного сервиса BTCPay Server, вредоносного кода в чат-виджете Udesk и утечки данных Gnosis Pay. Общая черта — уязвимым оказывается не блокчейн, а сторонний сервис, которому пользователь доверил ключи или данные.