Pemindahan darurat aset senilai US$5,6 juta! Web3Auth berpacu dengan penyerang untuk lebih dahulu menyelamatkan dana dari sejumlah dompet Keplr.
Insiden ini bermula dari celah keamanan pada layanan Web3Auth. Kunci privat sejumlah dompet Keplr yang dibuat dengan masuk melalui Google atau Apple bocor.
Web3Auth kemudian mengumumkan 12 alamat pemulihan. Data on-chain menunjukkan bahwa alamat-alamat tersebut saat ini menyimpan aset kripto senilai sekitar US$5,6 juta, termasuk sekitar 2,49 juta ATOM senilai kurang lebih US$3,3 juta.
Namun, upaya penyelamatan ini bukan berarti semua dana berhasil diamankan.
Dalam pengumumannya, Web3Auth menyebut “penyerang awal”, yang mengisyaratkan bahwa sejumlah dompet telah diserang sebelum dananya dipindahkan ke alamat yang aman. Jumlah pasti yang dicuri belum diungkapkan.
Salah satu pendiri Keplr, Josh Lee, memperkirakan sekitar 20% akun yang masuk melalui Google dan Apple terdampak, tetapi hanya sebagian kecil dari akun tersebut yang benar-benar dieksploitasi oleh penyerang.
Hal yang paling patut diwaspadai dari insiden ini adalah pengguna mungkin sama sekali tidak pernah menggunakan frasa pemulihan dan tidak pernah secara sengaja membocorkan kunci privat, tetapi tetap kehilangan kendali atas dompet mereka akibat celah pada infrastruktur login pihak ketiga.
Keamanan dompet Web3 tidak hanya bergantung pada protokol on-chain dan tindakan pengguna sendiri. Layanan pengelolaan kunci di baliknya juga dapat menjadi mata rantai terlemah dalam keseluruhan sistem.
Insiden ini bermula dari celah keamanan pada layanan Web3Auth. Kunci privat sejumlah dompet Keplr yang dibuat dengan masuk melalui Google atau Apple bocor.
Web3Auth kemudian mengumumkan 12 alamat pemulihan. Data on-chain menunjukkan bahwa alamat-alamat tersebut saat ini menyimpan aset kripto senilai sekitar US$5,6 juta, termasuk sekitar 2,49 juta ATOM senilai kurang lebih US$3,3 juta.
Namun, upaya penyelamatan ini bukan berarti semua dana berhasil diamankan.
Dalam pengumumannya, Web3Auth menyebut “penyerang awal”, yang mengisyaratkan bahwa sejumlah dompet telah diserang sebelum dananya dipindahkan ke alamat yang aman. Jumlah pasti yang dicuri belum diungkapkan.
Salah satu pendiri Keplr, Josh Lee, memperkirakan sekitar 20% akun yang masuk melalui Google dan Apple terdampak, tetapi hanya sebagian kecil dari akun tersebut yang benar-benar dieksploitasi oleh penyerang.
Hal yang paling patut diwaspadai dari insiden ini adalah pengguna mungkin sama sekali tidak pernah menggunakan frasa pemulihan dan tidak pernah secara sengaja membocorkan kunci privat, tetapi tetap kehilangan kendali atas dompet mereka akibat celah pada infrastruktur login pihak ketiga.
Keamanan dompet Web3 tidak hanya bergantung pada protokol on-chain dan tindakan pengguna sendiri. Layanan pengelolaan kunci di baliknya juga dapat menjadi mata rantai terlemah dalam keseluruhan sistem.