Bei der Wallet, mit der man sich bei Keplr über Google oder Apple anmeldet, ist etwas schiefgelaufen: In der Infrastruktur von Web3Auth, dem Drittanbieter für Social Logins, wurde eine Schwachstelle entdeckt. Die privaten Schlüssel einiger Konten, die per Social Login erstellt wurden, sind offengelegt worden.
Ein paar Punkte im Überblick:
1. Wie ChainCatcher und PANews am 8. November unter Berufung auf ein offizielles Update von Keplr berichteten, führte eine Schwachstelle in der Web3Auth-Infrastruktur dazu, dass die privaten Schlüssel einiger Keplr-Konten offengelegt wurden, die über Google oder Apple erstellt worden waren. Konten, die mit einer Seed Phrase oder einer Hardware-Wallet erstellt wurden, sind nicht betroffen. Die Anmeldung über Google und Apple wurde vorerst ausgesetzt.
2. Keplr zufolge unterstützt das Unternehmen Web3Auth dabei, die Vermögenswerte betroffener Nutzer zu schützen. Die Maßnahmen laufen noch; die Behandlung gestakter und gesperrter Vermögenswerte ist komplizierter und dauert länger. Web3Auth erklärte, man habe bei Wallets, die noch nicht angegriffen worden, aber weiterhin gefährdet waren, vorsorgliche Übertragungen vorgenommen. Dabei sei derselbe Weg wie vom Angreifer genutzt und das Vermögen auf sichere Wiederherstellungsadressen übertragen worden. Daher bedeutet ein gesunkenes oder auf null gefallenes Guthaben bei einigen Social-Login-Konten nicht zwangsläufig, dass die Vermögenswerte gestohlen wurden. Beide Unternehmen arbeiten noch an einer Liste der Wiederherstellungsadressen, die Nutzer überprüfen können, und prüfen Möglichkeiten, mit denen Nutzer selbst feststellen können, ob ihre Konten betroffen sind. Bislang hat keine der beiden Seiten die Zahl der betroffenen Konten oder die gestohlene beziehungsweise gesicherte Summe veröffentlicht.
3. Keplr rät Nutzern, die ihr Konto über Google oder Apple erstellt haben, vorerst keine neuen Gelder auf dieses Konto zu überweisen und alle noch übertragbaren Vermögenswerte auf ein Konto zu transferieren, das mit einer Seed Phrase oder einer Hardware-Wallet erstellt wurde. Vertraut nur den Mitteilungen der offiziellen Keplr- und Web3Auth-Konten. Klickt nicht auf Links in Direktnachrichten oder auf Links von Personen, die behaupten, „euch bei der Wiederherstellung eurer Vermögenswerte zu helfen“.
Meine persönliche Einschätzung: Eine bequeme Anmeldung bedeutet nicht, dass man die Schlüssel selbst in der Hand hält. Beim Social Login werden die Erzeugung und Verwahrung der privaten Schlüssel an Dritte ausgelagert. Genau diese Ebene war diesmal betroffen – nicht das selbstverwaltete System mit Seed Phrase. Wenn das Konto leer ist, klickt nicht sofort auf Links zur „Wiederherstellung“. Laut den offiziellen Angaben wurden einige Vermögenswerte vorsorglich übertragen. Solange die Adressen noch nicht abgeglichen sind, lässt sich kaum auf den ersten Blick erkennen, ob es sich um eine Rettungsmaßnahme oder einen Diebstahl handelt. Wer eine solche Wallet nutzt, sollte den offiziellen Angaben folgen und zunächst alle übertragbaren Vermögenswerte auf ein Konto mit Seed Phrase oder Hardware-Wallet übertragen. Für gestakte Vermögenswerte sollte man weitere Informationen abwarten.
Diese Zusammenfassung basiert ausschließlich auf öffentlich zugänglichen Berichten und stellt keine Anlageberatung dar.
$ATOM $TIA
Ein paar Punkte im Überblick:
1. Wie ChainCatcher und PANews am 8. November unter Berufung auf ein offizielles Update von Keplr berichteten, führte eine Schwachstelle in der Web3Auth-Infrastruktur dazu, dass die privaten Schlüssel einiger Keplr-Konten offengelegt wurden, die über Google oder Apple erstellt worden waren. Konten, die mit einer Seed Phrase oder einer Hardware-Wallet erstellt wurden, sind nicht betroffen. Die Anmeldung über Google und Apple wurde vorerst ausgesetzt.
2. Keplr zufolge unterstützt das Unternehmen Web3Auth dabei, die Vermögenswerte betroffener Nutzer zu schützen. Die Maßnahmen laufen noch; die Behandlung gestakter und gesperrter Vermögenswerte ist komplizierter und dauert länger. Web3Auth erklärte, man habe bei Wallets, die noch nicht angegriffen worden, aber weiterhin gefährdet waren, vorsorgliche Übertragungen vorgenommen. Dabei sei derselbe Weg wie vom Angreifer genutzt und das Vermögen auf sichere Wiederherstellungsadressen übertragen worden. Daher bedeutet ein gesunkenes oder auf null gefallenes Guthaben bei einigen Social-Login-Konten nicht zwangsläufig, dass die Vermögenswerte gestohlen wurden. Beide Unternehmen arbeiten noch an einer Liste der Wiederherstellungsadressen, die Nutzer überprüfen können, und prüfen Möglichkeiten, mit denen Nutzer selbst feststellen können, ob ihre Konten betroffen sind. Bislang hat keine der beiden Seiten die Zahl der betroffenen Konten oder die gestohlene beziehungsweise gesicherte Summe veröffentlicht.
3. Keplr rät Nutzern, die ihr Konto über Google oder Apple erstellt haben, vorerst keine neuen Gelder auf dieses Konto zu überweisen und alle noch übertragbaren Vermögenswerte auf ein Konto zu transferieren, das mit einer Seed Phrase oder einer Hardware-Wallet erstellt wurde. Vertraut nur den Mitteilungen der offiziellen Keplr- und Web3Auth-Konten. Klickt nicht auf Links in Direktnachrichten oder auf Links von Personen, die behaupten, „euch bei der Wiederherstellung eurer Vermögenswerte zu helfen“.
Meine persönliche Einschätzung: Eine bequeme Anmeldung bedeutet nicht, dass man die Schlüssel selbst in der Hand hält. Beim Social Login werden die Erzeugung und Verwahrung der privaten Schlüssel an Dritte ausgelagert. Genau diese Ebene war diesmal betroffen – nicht das selbstverwaltete System mit Seed Phrase. Wenn das Konto leer ist, klickt nicht sofort auf Links zur „Wiederherstellung“. Laut den offiziellen Angaben wurden einige Vermögenswerte vorsorglich übertragen. Solange die Adressen noch nicht abgeglichen sind, lässt sich kaum auf den ersten Blick erkennen, ob es sich um eine Rettungsmaßnahme oder einen Diebstahl handelt. Wer eine solche Wallet nutzt, sollte den offiziellen Angaben folgen und zunächst alle übertragbaren Vermögenswerte auf ein Konto mit Seed Phrase oder Hardware-Wallet übertragen. Für gestakte Vermögenswerte sollte man weitere Informationen abwarten.
Diese Zusammenfassung basiert ausschließlich auf öffentlich zugänglichen Berichten und stellt keine Anlageberatung dar.
$ATOM $TIA
