La billetera de Keplr que permite iniciar sesión con Google o Apple ha tenido un problema: se detectó una vulnerabilidad en la infraestructura de Web3Auth, el servicio de inicio de sesión de terceros, y se filtraron las claves privadas de algunas cuentas que usan el inicio de sesión social.
Repasemos algunos puntos:
1. Según actualizaciones oficiales de Keplr citadas el 8 de noviembre por ChainCatcher y PANews, una vulnerabilidad en la infraestructura de Web3Auth provocó la filtración de las claves privadas de algunas cuentas de Keplr creadas al iniciar sesión con Google o Apple. Las cuentas creadas con una frase semilla o una billetera de hardware no se han visto afectadas. La función de inicio de sesión con Google o Apple está suspendida por ahora.
2. Keplr afirma que está colaborando con Web3Auth para proteger los activos de los usuarios afectados; el proceso sigue en curso. Gestionar los activos en staking o bloqueados es más complejo y llevará más tiempo. Web3Auth indicó que realizó transferencias de protección para billeteras que aún no habían sido atacadas, pero seguían siendo vulnerables, siguiendo la misma vía que los atacantes y trasladando los activos a direcciones seguras de recuperación. Por eso, que el saldo de algunas cuentas con inicio de sesión social haya disminuido o llegado a cero no significa necesariamente que hayan sido robadas. Ambas partes también están preparando una lista de direcciones de recuperación que pueda verificarse y estudiando cómo permitir que los usuarios comprueben por sí mismos si sus cuentas se han visto afectadas. Por ahora, ninguna de las partes ha publicado el número de cuentas afectadas ni el importe robado o protegido.
3. Keplr recomienda a los usuarios que crearon sus cuentas al iniciar sesión con Google o Apple que, por el momento, no transfieran más fondos a esas cuentas y trasladen los activos restantes que puedan transferirse a cuentas creadas con una frase semilla o una billetera de hardware. Confíen únicamente en las actualizaciones de las cuentas oficiales de Keplr y Web3Auth; no hagan clic en enlaces de mensajes privados ni en los que afirmen «ayudarles a recuperar sus activos».
Opinión personal: que iniciar sesión sea cómodo no significa que uno tenga las llaves en sus propias manos. El inicio de sesión social delega en un tercero la generación y custodia de las claves privadas; esta vez, la filtración se produjo en esa capa, no en el sistema de autocustodia basado en frases semilla. Si la cuenta está vacía, no se apresuren a hacer clic en enlaces de «recuperación»: según el comunicado oficial, parte de los activos se transfirió como medida de protección, y hasta que se coteje la lista será difícil distinguir a simple vista un rescate de un vaciado. Quienes tengan este tipo de billetera deberían seguir las indicaciones oficiales y trasladar primero los activos que puedan mover a una cuenta con frase semilla o billetera de hardware; para los activos en staking, esperen a que se publiquen más instrucciones.
Resumen de información pública; no constituye asesoramiento de inversión.
$ATOM $TIA
Repasemos algunos puntos:
1. Según actualizaciones oficiales de Keplr citadas el 8 de noviembre por ChainCatcher y PANews, una vulnerabilidad en la infraestructura de Web3Auth provocó la filtración de las claves privadas de algunas cuentas de Keplr creadas al iniciar sesión con Google o Apple. Las cuentas creadas con una frase semilla o una billetera de hardware no se han visto afectadas. La función de inicio de sesión con Google o Apple está suspendida por ahora.
2. Keplr afirma que está colaborando con Web3Auth para proteger los activos de los usuarios afectados; el proceso sigue en curso. Gestionar los activos en staking o bloqueados es más complejo y llevará más tiempo. Web3Auth indicó que realizó transferencias de protección para billeteras que aún no habían sido atacadas, pero seguían siendo vulnerables, siguiendo la misma vía que los atacantes y trasladando los activos a direcciones seguras de recuperación. Por eso, que el saldo de algunas cuentas con inicio de sesión social haya disminuido o llegado a cero no significa necesariamente que hayan sido robadas. Ambas partes también están preparando una lista de direcciones de recuperación que pueda verificarse y estudiando cómo permitir que los usuarios comprueben por sí mismos si sus cuentas se han visto afectadas. Por ahora, ninguna de las partes ha publicado el número de cuentas afectadas ni el importe robado o protegido.
3. Keplr recomienda a los usuarios que crearon sus cuentas al iniciar sesión con Google o Apple que, por el momento, no transfieran más fondos a esas cuentas y trasladen los activos restantes que puedan transferirse a cuentas creadas con una frase semilla o una billetera de hardware. Confíen únicamente en las actualizaciones de las cuentas oficiales de Keplr y Web3Auth; no hagan clic en enlaces de mensajes privados ni en los que afirmen «ayudarles a recuperar sus activos».
Opinión personal: que iniciar sesión sea cómodo no significa que uno tenga las llaves en sus propias manos. El inicio de sesión social delega en un tercero la generación y custodia de las claves privadas; esta vez, la filtración se produjo en esa capa, no en el sistema de autocustodia basado en frases semilla. Si la cuenta está vacía, no se apresuren a hacer clic en enlaces de «recuperación»: según el comunicado oficial, parte de los activos se transfirió como medida de protección, y hasta que se coteje la lista será difícil distinguir a simple vista un rescate de un vaciado. Quienes tengan este tipo de billetera deberían seguir las indicaciones oficiales y trasladar primero los activos que puedan mover a una cuenta con frase semilla o billetera de hardware; para los activos en staking, esperen a que se publiquen más instrucciones.
Resumen de información pública; no constituye asesoramiento de inversión.
$ATOM $TIA
