11月6日深夜から7日にかけて、Keplrウォレットで不可解な事件が起きた。GoogleまたはAppleアカウントでログインしてウォレットを作成したユーザーの秘密鍵が、Web3Authのインフラから抜き取られたのだ。Bitqueryの集計によると、18時間で4万4,000を超えるウォレットから資金が流出し、オンチェーンで確認できる金額は約601万ドルにのぼる。ただし、この金額にはWeb3Authが自ら移動させた救済資金も含まれており、ハッカーが実際に奪った額はまだ確定していない。さらに胸が痛むのは、流出した資金の86％がKeplrの警告後に移動されたという点だ。警告は発せられたが、鍵はすでに他人の手に渡っていた。ログインを停止しても、流出は防げなかった。

まず、今回の責任がどこにあるのかをはっきりさせよう。Keplrの共同創業者Josh Leeによると、脆弱性はWeb3Authのインフラにあり、Keplrのコードには問題がなかった。シードフレーズで作成したウォレットやハードウェアウォレットを接続したアカウントは今回の影響を受けず、問題が起きたのはGoogleやAppleのワンクリックログインを利用したアカウントで、この種のアカウントのおよそ2割を占めていた。Web3Authは6日夜、サービスにセキュリティ上の問題があったことを認め、埋め込み型ウォレットサービスを停止した。Keplrは7日午前4時38分に警告を出し、こうしたアカウントにこれ以上資金を送らないようユーザーに呼びかけた。Bitqueryの集計によれば、警告後に抜き取られた資金のほうがむしろ大半を占め、Cosmos Hubだけでも約350万ドルが被害に遭ったと確認されている。さらに、ステーキング中だったATOM 196万枚も、21日間のロック解除期間を経ずにそのまま移転された。

最も注目すべきなのは、後半の展開だ。Web3Authは秘密鍵が漏れる脆弱性を発見した後、告知を出すだけにとどまらず、同じ脆弱性を利用してハッカーに先んじ、まだ資金を抜き取られていないウォレットから資金を移した。11月8日、同社は12個の回収用アドレスを公表し、そこには約560万ドルが保管されていた。オンチェーン調査では当初、そのうち8つのアドレスがハッカーのウォレットと見なされていたが、後になってWeb3Auth自身の回収用アドレスだと確認された。Cosmos Hubの回収用アドレスには、ATOMだけで249万枚、約330万ドル相当があった。脆弱性に善悪の区別はない。先にたどり着いた者が、先に資金を手にする。

個人投資家にとっての教訓は、Keplrではなく、自分のウォレットがどのように作られたかにある。ワンクリックログインでウォレットを作るのは便利だが、その代償として秘密鍵を自分で管理できず、第三者のサービス事業者に預けることになる。サービス事業者に問題が起きれば、対応する時間さえない。警告が出た頃には、資金はすでに移動中かもしれない。もう一つ、見落とされがちな点がある。Web3Authが回収した資金を、いつ、どのような手順でユーザーに返すのか、また最終的にいくら盗まれたのか、根本原因は何だったのかについて、11月8日夜の時点でも公式発表はなかった。すでに資産の回復を装ったフィッシングリンクも出回っており、KeplrとWeb3Authは公式窓口だけを利用するよう注意を呼びかけている。

私の意見は一つだけ。ウォレットの鍵は自分の手元に置くべきだ。ワンクリックログインの便利さは、いずれ本物のお金で代償を払うことになる。

今すぐ、普段使っているウォレットを開いて確認してみよう。作成時に使ったのはシードフレーズ？ それともGoogleやAppleのワンクリックログイン？

#Keplr #Web3Auth #钱包安全 #安全复盘 #Cosmos

—— web3韭菜小凯

本記事は個人の見解を共有するものであり、投資助言を構成するものではありません。データ出典はThe Block、Bitquery、Coinpaper、CryptoCompassおよび公開報道です。金額はオンチェーン追跡に基づく推定値であり、相場は常に変動します。リスクはご自身で判断してください。