Terkunci bukan berarti aman: peretas sedang melepas staking koin MANTRA milik para korban!
Pada 13 Nov, MANTRA menghentikan pelepasan staking baru selama 7 hari. Masa tunggu yang melindungi staker hanya berfungsi jika orang yang menekan tombol lepas staking adalah Anda.
Staking berarti mengunci koin Anda untuk membantu menjalankan blockchain. Untuk mengambilnya, Anda melakukan “lepas staking” lalu menunggu (8 hari di MANTRA).
Bagaimana ini bisa terjadi?
> Keplr, dompet populer untuk koin berbasis Cosmos, memungkinkan Anda membuka akun menggunakan frasa seed, perangkat keras, atau login Google maupun Apple.
> Dengan login Google atau Apple, layanan pihak ketiga bernama Web3Auth membuat kunci pribadi Anda (kata sandi utama untuk koin Anda), bukan frasa yang Anda tulis sendiri.
> Pada 6 Nov, sebuah celah di Web3Auth membuat beberapa kunci terekspos. Salah satu pendiri Keplr mengatakan bahwa ini bukan peretasan kode Keplr dan memperkirakan sekitar 20% akun login Google dan Apple terdampak.
> Menurut MANTRA, pencuri mengambil koin yang tidak di-stake terlebih dahulu, lalu mulai melepas staking koin yang sedang di-stake. MANTRA membekukan dompet mereka melalui pemungutan suara tata kelola dan menghentikan pelepasan staking baru. MANTRA akan meninjau kembali situasi setelah 7 hari.
Pelepasan staking yang sudah berlangsung tidak dihentikan. Menurut MANTRA, siapa pun yang sedang dalam proses melepas staking harus melakukan staking kembali (delegasi ulang) sebelum masa 8 hari berakhir, atau pencuri dapat mengklaimnya.
Seberapa besar kerugiannya? Belum pasti. Bitquery melacak sekitar $6M yang berpindah dari lebih dari 44.000 dompet, tetapi sebagian merupakan upaya Web3Auth menyelamatkan koin sebelum dicuri. GoPlus memperkirakan setidaknya sekitar $1M dicuri. Belum ada jumlah akhir atau rencana pengembalian dana.
Pemeriksaan singkat, sesuai saran Keplr:
- Akun frasa seed dan dompet perangkat keras tidak terdampak. Akun login Google atau Apple terdampak.
- Jika Anda menggunakan login sosial: berhenti menyetor dan pindahkan koin yang tidak di-stake ke akun frasa seed atau perangkat keras.
- Abaikan DM dan tautan yang menawarkan “bantuan pemulihan”. Percayai hanya unggahan resmi Keplr dan Web3Auth.
Apa yang perlu dipantau? Tinjauan MANTRA, sekitar 20 Nov UTC. Akan dicabut, diperpanjang, atau dijelaskan?
Siapa pun yang memegang kunci, dialah yang mengendalikan gembok.
Bagaimana Anda membuat dompet: dengan frasa seed, perangkat keras, atau login sosial?
Pengalaman pribadi, bukan nasihat keuangan. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
Pada 13 Nov, MANTRA menghentikan pelepasan staking baru selama 7 hari. Masa tunggu yang melindungi staker hanya berfungsi jika orang yang menekan tombol lepas staking adalah Anda.
Staking berarti mengunci koin Anda untuk membantu menjalankan blockchain. Untuk mengambilnya, Anda melakukan “lepas staking” lalu menunggu (8 hari di MANTRA).
Bagaimana ini bisa terjadi?
> Keplr, dompet populer untuk koin berbasis Cosmos, memungkinkan Anda membuka akun menggunakan frasa seed, perangkat keras, atau login Google maupun Apple.
> Dengan login Google atau Apple, layanan pihak ketiga bernama Web3Auth membuat kunci pribadi Anda (kata sandi utama untuk koin Anda), bukan frasa yang Anda tulis sendiri.
> Pada 6 Nov, sebuah celah di Web3Auth membuat beberapa kunci terekspos. Salah satu pendiri Keplr mengatakan bahwa ini bukan peretasan kode Keplr dan memperkirakan sekitar 20% akun login Google dan Apple terdampak.
> Menurut MANTRA, pencuri mengambil koin yang tidak di-stake terlebih dahulu, lalu mulai melepas staking koin yang sedang di-stake. MANTRA membekukan dompet mereka melalui pemungutan suara tata kelola dan menghentikan pelepasan staking baru. MANTRA akan meninjau kembali situasi setelah 7 hari.
Pelepasan staking yang sudah berlangsung tidak dihentikan. Menurut MANTRA, siapa pun yang sedang dalam proses melepas staking harus melakukan staking kembali (delegasi ulang) sebelum masa 8 hari berakhir, atau pencuri dapat mengklaimnya.
Seberapa besar kerugiannya? Belum pasti. Bitquery melacak sekitar $6M yang berpindah dari lebih dari 44.000 dompet, tetapi sebagian merupakan upaya Web3Auth menyelamatkan koin sebelum dicuri. GoPlus memperkirakan setidaknya sekitar $1M dicuri. Belum ada jumlah akhir atau rencana pengembalian dana.
Pemeriksaan singkat, sesuai saran Keplr:
- Akun frasa seed dan dompet perangkat keras tidak terdampak. Akun login Google atau Apple terdampak.
- Jika Anda menggunakan login sosial: berhenti menyetor dan pindahkan koin yang tidak di-stake ke akun frasa seed atau perangkat keras.
- Abaikan DM dan tautan yang menawarkan “bantuan pemulihan”. Percayai hanya unggahan resmi Keplr dan Web3Auth.
Apa yang perlu dipantau? Tinjauan MANTRA, sekitar 20 Nov UTC. Akan dicabut, diperpanjang, atau dijelaskan?
Siapa pun yang memegang kunci, dialah yang mengendalikan gembok.
Bagaimana Anda membuat dompet: dengan frasa seed, perangkat keras, atau login sosial?
Pengalaman pribadi, bukan nasihat keuangan. $MANTRA
#MANTRAPausesUnstakingFor7DaysAfterKeplrSecurityIncident
