Verrouillé ne veut pas dire en sécurité : des pirates désactivent le staking des victimes pour récupérer leurs jetons MANTRA !
Le 13 novembre, MANTRA a suspendu les nouveaux retraits du staking pendant 7 jours. Le délai d’attente qui protège les personnes qui font du staking ne fonctionne que si c’est vous qui demandez le retrait.
Faire du staking, c’est verrouiller vos jetons pour contribuer au fonctionnement d’une blockchain. Pour les récupérer, vous devez « retirer votre staking » et attendre (8 jours sur MANTRA).
Comment en est-on arrivé là ?
> Keplr, un portefeuille populaire pour les jetons basés sur Cosmos, vous permet d’ouvrir un compte avec une phrase de récupération, un appareil matériel ou une connexion Google ou Apple.
> Avec la connexion Google ou Apple, un service tiers appelé Web3Auth génère votre clé privée (le mot de passe principal de vos jetons), au lieu d’utiliser une phrase que vous avez notée.
> Le 6 novembre, une faille chez Web3Auth a exposé certaines de ces clés. Le cofondateur de Keplr affirme que le code de Keplr n’a pas été piraté et estime qu’environ 20 % des comptes utilisant une connexion Google ou Apple ont été touchés.
> Selon MANTRA, les voleurs ont d’abord pris les jetons disponibles, puis ont commencé à retirer ceux qui étaient en staking. MANTRA a gelé leurs portefeuilles par un vote de gouvernance et suspendu les nouveaux retraits du staking. La situation sera réévaluée après 7 jours.
Les retraits du staking déjà en cours ne sont pas suspendus. Selon MANTRA, toute personne ayant un retrait en cours doit remettre ses jetons en staking (les redéléguer) avant la fin des 8 jours, faute de quoi le voleur pourra les réclamer.
Quelle est l’ampleur de l’incident ? Ce n’est pas encore établi. Bitquery a suivi environ 6 M$ sortis de plus de 44 000 portefeuilles, mais une partie correspondait à des jetons mis à l’abri par Web3Auth avant l’arrivée des voleurs. GoPlus estime qu’au moins environ 1 M$ a été volé. Aucun bilan définitif ni plan de remboursement n’a encore été annoncé.
Vérification rapide, selon les conseils de Keplr :
- Les comptes utilisant une phrase de récupération ou un portefeuille matériel n’ont pas été touchés. Ceux utilisant une connexion Google ou Apple l’ont été.
- Si vous utilisez une connexion sociale : cessez les dépôts et transférez les jetons disponibles vers un compte avec phrase de récupération ou un portefeuille matériel.
- Ignorez les messages privés et les liens proposant une « aide à la récupération ». Fiez-vous uniquement aux publications officielles de Keplr et de Web3Auth.
Que faut-il surveiller ? L’examen de la situation par MANTRA, vers le 20 novembre UTC. La suspension sera-t-elle levée, prolongée ou expliquée ?
Qui détient la clé contrôle la serrure.
Comment votre portefeuille a-t-il été créé : avec une phrase de récupération, un appareil matériel ou une connexion sociale ?
Témoignage, pas un conseil financier. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
Le 13 novembre, MANTRA a suspendu les nouveaux retraits du staking pendant 7 jours. Le délai d’attente qui protège les personnes qui font du staking ne fonctionne que si c’est vous qui demandez le retrait.
Faire du staking, c’est verrouiller vos jetons pour contribuer au fonctionnement d’une blockchain. Pour les récupérer, vous devez « retirer votre staking » et attendre (8 jours sur MANTRA).
Comment en est-on arrivé là ?
> Keplr, un portefeuille populaire pour les jetons basés sur Cosmos, vous permet d’ouvrir un compte avec une phrase de récupération, un appareil matériel ou une connexion Google ou Apple.
> Avec la connexion Google ou Apple, un service tiers appelé Web3Auth génère votre clé privée (le mot de passe principal de vos jetons), au lieu d’utiliser une phrase que vous avez notée.
> Le 6 novembre, une faille chez Web3Auth a exposé certaines de ces clés. Le cofondateur de Keplr affirme que le code de Keplr n’a pas été piraté et estime qu’environ 20 % des comptes utilisant une connexion Google ou Apple ont été touchés.
> Selon MANTRA, les voleurs ont d’abord pris les jetons disponibles, puis ont commencé à retirer ceux qui étaient en staking. MANTRA a gelé leurs portefeuilles par un vote de gouvernance et suspendu les nouveaux retraits du staking. La situation sera réévaluée après 7 jours.
Les retraits du staking déjà en cours ne sont pas suspendus. Selon MANTRA, toute personne ayant un retrait en cours doit remettre ses jetons en staking (les redéléguer) avant la fin des 8 jours, faute de quoi le voleur pourra les réclamer.
Quelle est l’ampleur de l’incident ? Ce n’est pas encore établi. Bitquery a suivi environ 6 M$ sortis de plus de 44 000 portefeuilles, mais une partie correspondait à des jetons mis à l’abri par Web3Auth avant l’arrivée des voleurs. GoPlus estime qu’au moins environ 1 M$ a été volé. Aucun bilan définitif ni plan de remboursement n’a encore été annoncé.
Vérification rapide, selon les conseils de Keplr :
- Les comptes utilisant une phrase de récupération ou un portefeuille matériel n’ont pas été touchés. Ceux utilisant une connexion Google ou Apple l’ont été.
- Si vous utilisez une connexion sociale : cessez les dépôts et transférez les jetons disponibles vers un compte avec phrase de récupération ou un portefeuille matériel.
- Ignorez les messages privés et les liens proposant une « aide à la récupération ». Fiez-vous uniquement aux publications officielles de Keplr et de Web3Auth.
Que faut-il surveiller ? L’examen de la situation par MANTRA, vers le 20 novembre UTC. La suspension sera-t-elle levée, prolongée ou expliquée ?
Qui détient la clé contrôle la serrure.
Comment votre portefeuille a-t-il été créé : avec une phrase de récupération, un appareil matériel ou une connexion sociale ?
Témoignage, pas un conseil financier. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
