Keplr i Web3Auth: luka naraża portfele

Keplr i Web3Auth w ogniu po wykryciu luki

Keplr, popularny portfel kryptowalutowy w formie rozszerzenia do przeglądarki, zablokował logowanie przez Google i Apple po wykryciu podejrzanych transakcji na części kont. Problem nie leży po stronie samego portfela, lecz w infrastrukturze Web3Auth, która odpowiada za tworzenie i zarządzanie kluczami prywatnymi dla logowania społecznościowego.

Z informacji ujawnionych przez zespoły wynika, że luka dotknęła głównie użytkowników, którzy zakładali konto właśnie przez Google lub Apple. Osoby korzystające z seed phrase albo hardware wallet nie zostały objęte incydentem.

Co dokładnie się stało

6 listopada Web3Auth wykrył problem bezpieczeństwa w swojej infrastrukturze i wstrzymał usługę portfeli zintegrowanych. Następnego dnia Keplr poszedł o krok dalej i wyłączył możliwość łączenia kont przez Google i Apple, ostrzegając użytkowników przed:

• przesyłaniem nowych środków do takich portfeli,
• ponownym importowaniem kont,
• fałszywymi wiadomościami dotyczącymi odzyskiwania dostępu.

Według wstępnych ocen problem mógł objąć około 44,7 tys. kluczy prywatnych. Analiza on-chain wskazuje, że w ruchu znalazło się około 6,01 mln dolarów na różnych sieciach, m.in. Cosmos Hub, Osmosis, Celestia, Akash, Noble, dYdX, Babylon i Injective.

Część środków zabezpieczono

Sytuacja nie oznacza jednak automatycznie, że cała ta kwota została skradziona. Web3Auth wskazał później 12 adresów odzyskiwania, na których zabezpieczono aktywa użytkowników Keplr o wartości około 5,6 mln dolarów. Oznacza to, że szacowana strata netto mogła wynosić około 410 tys. dolarów, choć jest to tylko przybliżenie, bo zakresy analiz nie są identyczne.

Bitquery zwraca też uwagę, że mediana straty na portfel była niewielka i wynosiła około 1,34 dolara, ale pojedyncze przypadki były znacznie poważniejsze — największy transfer sięgał niemal 325 tys. dolarów.

Największy problem: logowanie społecznościowe

Incydent pokazuje słabość modeli, w których bezpieczeństwo portfela zależy od zewnętrznego dostawcy autoryzacji. Użytkownik może mieć wrażenie, że korzysta z portfela non-custodial, ale jeśli klucze prywatne są rekonstruowane przez zewnętrzną usługę, to ryzyko przestaje być wyłącznie jego problemem.

W praktyce oznacza to, że wygoda logowania przez Google lub Apple może kosztować utratę części kontroli nad aktywami, jeśli dostawca popełni błąd albo zostanie zaatakowany.

Trwa operacja odzyskiwania aktywów

Web3Auth i Keplr rozpoczęły przenoszenie aktywów do bezpiecznych adresów odzyskiwania. Proces jest jednak skomplikowany, bo część środków była ulokowana w stakingu, a w przypadku niektórych sieci trzeba najpierw odblokować tokeny, zanim da się je przetransferować.

Dodatkowo pojawił się nietypowy problem: Web3Auth przyznał, że w ramach działań ratunkowych użyto tego samego mechanizmu podpisywania, który mógł być wykorzystany przez atakującego. W efekcie część użytkowników obserwowała ruch środków bez jasnej informacji, czy to już kradzież, czy jeszcze próba ich zabezpieczenia.

MetaMask nie została potwierdzona jako ofiara

Web3Auth jest wykorzystywany także przez MetaMask, ale po wstępnym sprawdzeniu nie potwierdzono, by ten portfel również ucierpiał w tym samym incydencie.

Na ten moment nie podano też konkretnego terminu pełnego przywrócenia logowania przez Google i Apple ani ewentualnych zasad rekompensaty dla poszkodowanych.

Lekcja dla rynku

Ta sytuacja przypomina podstawową zasadę świata krypto: bezpieczeństwo aktywów zależy od kontroli nad kluczami prywatnymi. Im więcej zadań oddaje się zewnętrznym usługom, tym większe znaczenie ma ich stabilność i odporność na ataki.

Wygoda jest cenna, ale w kryptowalutach nadal ma swoją cenę.