تعرضت محفظة Keplr التي تتيح تسجيل الدخول عبر Google وApple لمشكلة: فقد ظهرت ثغرة في البنية التحتية لخدمة تسجيل الدخول الخارجية Web3Auth، وتسربت المفاتيح الخاصة لبعض الحسابات التي تستخدم تسجيل الدخول الاجتماعي.
إليكم أبرز النقاط:
1. وفقًا لتحديث رسمي من Keplr نقلته ChainCatcher وPANews في 8 نوفمبر، أدت ثغرة في البنية التحتية لـWeb3Auth إلى تسرب المفاتيح الخاصة لبعض حسابات Keplr التي أُنشئت عبر تسجيل الدخول باستخدام Google أو Apple. أما الحسابات التي أُنشئت باستخدام عبارة الاسترداد أو محفظة الأجهزة فلم تتأثر. وقد أُوقفت حاليًا ميزة تسجيل الدخول عبر Google وApple.
2. قالت Keplr إنها تساعد Web3Auth على حماية أصول المستخدمين المتأثرين، وإن التعامل مع الحادثة لا يزال جاريًا؛ كما أن معالجة الأصول المرهونة والمقفلة أكثر تعقيدًا وتحتاج إلى وقت أطول. وأوضحت Web3Auth أنها أجرت تحويلات وقائية للمحافظ التي لم تتعرض للهجوم بعد لكنها لا تزال عرضة للخطر، واتّبعت المسار نفسه الذي استخدمه المهاجمون، ونقلت الأصول إلى عناوين استرداد آمنة. لذلك، فإن انخفاض رصيد بعض الحسابات التي تستخدم تسجيل الدخول الاجتماعي أو وصوله إلى الصفر لا يعني بالضرورة أن أصولها سُرقت. ويعمل الطرفان أيضًا على إعداد قائمة بعناوين الاسترداد للتحقق منها، ويدرسان طريقة تتيح للمستخدمين التحقق بأنفسهم مما إذا كانت حساباتهم قد تأثرت. ولم يعلن أي من الطرفين حتى الآن عدد الحسابات المتأثرة، أو قيمة الأصول المسروقة أو التي جرى تأمينها.
3. تنصح Keplr المستخدمين الذين أنشؤوا حساباتهم عبر تسجيل الدخول باستخدام Google أو Apple بعدم تحويل أموال جديدة إلى تلك الحسابات مؤقتًا، ونقل ما تبقى من الأصول القابلة للتحويل إلى حساب أُنشئ باستخدام عبارة الاسترداد أو محفظة أجهزة. اعتمدوا فقط على التحديثات الصادرة عن الحسابات الرسمية لـKeplr وWeb3Auth، ولا تضغطوا على روابط الرسائل الخاصة أو الروابط التي يرسلها من يدّعون أنهم «سيساعدونكم على استرداد الأصول».
رأيي الشخصي: سهولة تسجيل الدخول لا تعني أن المفاتيح في حوزتك. فتسجيل الدخول الاجتماعي يترك إنشاء المفاتيح الخاصة وحفظها لطرف ثالث، وهذا هو المستوى الذي شهد التسرب هذه المرة، وليس نظام الإدارة الذاتية القائم على عبارة الاسترداد. إذا أصبح رصيد الحساب صفرًا، فلا تتعجلوا الضغط على روابط «استرداد الحساب»؛ فقد قالت الجهة الرسمية إن بعض التحويلات كانت وقائية، وإلى أن تُطابق قائمة العناوين، يصعب التمييز فورًا بين عملية الإنقاذ وسرقة الأصول. إذا كنتم تستخدمون هذا النوع من المحافظ، فانقلوا أولًا الأصول القابلة للتحويل إلى حساب يعتمد على عبارة الاسترداد أو محفظة أجهزة، وفقًا للتوجيهات الرسمية، وانتظروا التوضيحات اللاحقة بشأن الأصول المرهونة.
هذا ملخص لما نُشر علنًا، ولا يشكل نصيحة استثمارية.
$ATOM $TIA
إليكم أبرز النقاط:
1. وفقًا لتحديث رسمي من Keplr نقلته ChainCatcher وPANews في 8 نوفمبر، أدت ثغرة في البنية التحتية لـWeb3Auth إلى تسرب المفاتيح الخاصة لبعض حسابات Keplr التي أُنشئت عبر تسجيل الدخول باستخدام Google أو Apple. أما الحسابات التي أُنشئت باستخدام عبارة الاسترداد أو محفظة الأجهزة فلم تتأثر. وقد أُوقفت حاليًا ميزة تسجيل الدخول عبر Google وApple.
2. قالت Keplr إنها تساعد Web3Auth على حماية أصول المستخدمين المتأثرين، وإن التعامل مع الحادثة لا يزال جاريًا؛ كما أن معالجة الأصول المرهونة والمقفلة أكثر تعقيدًا وتحتاج إلى وقت أطول. وأوضحت Web3Auth أنها أجرت تحويلات وقائية للمحافظ التي لم تتعرض للهجوم بعد لكنها لا تزال عرضة للخطر، واتّبعت المسار نفسه الذي استخدمه المهاجمون، ونقلت الأصول إلى عناوين استرداد آمنة. لذلك، فإن انخفاض رصيد بعض الحسابات التي تستخدم تسجيل الدخول الاجتماعي أو وصوله إلى الصفر لا يعني بالضرورة أن أصولها سُرقت. ويعمل الطرفان أيضًا على إعداد قائمة بعناوين الاسترداد للتحقق منها، ويدرسان طريقة تتيح للمستخدمين التحقق بأنفسهم مما إذا كانت حساباتهم قد تأثرت. ولم يعلن أي من الطرفين حتى الآن عدد الحسابات المتأثرة، أو قيمة الأصول المسروقة أو التي جرى تأمينها.
3. تنصح Keplr المستخدمين الذين أنشؤوا حساباتهم عبر تسجيل الدخول باستخدام Google أو Apple بعدم تحويل أموال جديدة إلى تلك الحسابات مؤقتًا، ونقل ما تبقى من الأصول القابلة للتحويل إلى حساب أُنشئ باستخدام عبارة الاسترداد أو محفظة أجهزة. اعتمدوا فقط على التحديثات الصادرة عن الحسابات الرسمية لـKeplr وWeb3Auth، ولا تضغطوا على روابط الرسائل الخاصة أو الروابط التي يرسلها من يدّعون أنهم «سيساعدونكم على استرداد الأصول».
رأيي الشخصي: سهولة تسجيل الدخول لا تعني أن المفاتيح في حوزتك. فتسجيل الدخول الاجتماعي يترك إنشاء المفاتيح الخاصة وحفظها لطرف ثالث، وهذا هو المستوى الذي شهد التسرب هذه المرة، وليس نظام الإدارة الذاتية القائم على عبارة الاسترداد. إذا أصبح رصيد الحساب صفرًا، فلا تتعجلوا الضغط على روابط «استرداد الحساب»؛ فقد قالت الجهة الرسمية إن بعض التحويلات كانت وقائية، وإلى أن تُطابق قائمة العناوين، يصعب التمييز فورًا بين عملية الإنقاذ وسرقة الأصول. إذا كنتم تستخدمون هذا النوع من المحافظ، فانقلوا أولًا الأصول القابلة للتحويل إلى حساب يعتمد على عبارة الاسترداد أو محفظة أجهزة، وفقًا للتوجيهات الرسمية، وانتظروا التوضيحات اللاحقة بشأن الأصول المرهونة.
هذا ملخص لما نُشر علنًا، ولا يشكل نصيحة استثمارية.
$ATOM $TIA
