A carteira Keplr, que permite iniciar sessão com Google ou Apple, teve um problema: a infraestrutura da Web3Auth, serviço de login de terceiros, apresentou uma vulnerabilidade e as chaves privadas de algumas contas com login social foram expostas.
Vamos aos pontos:
1. Segundo atualizações oficiais da Keplr citadas pela ChainCatcher e pela PANews em 8 de novembro, uma vulnerabilidade na infraestrutura da Web3Auth expôs as chaves privadas de algumas contas Keplr criadas com login do Google ou da Apple. As contas criadas com frase-semente ou carteira de hardware não foram afetadas. A função de login com Google/Apple está suspensa no momento.
2. A Keplr afirmou que está ajudando a Web3Auth a proteger os ativos dos usuários afetados, e que o processo ainda está em andamento. Os ativos em staking ou bloqueados são mais complexos de tratar e exigirão mais tempo. A Web3Auth informou que realizou transferências de proteção das carteiras vulneráveis que ainda não haviam sido atacadas, seguindo o mesmo caminho usado pelos invasores, e transferiu os ativos para endereços seguros de recuperação. Por isso, o saldo de algumas contas com login social pode ter diminuído ou chegado a zero sem que isso signifique necessariamente que os fundos foram roubados. As duas empresas também estão preparando uma lista de endereços de recuperação para verificação e estudando uma forma de os usuários verificarem por conta própria se foram afetados. Nenhuma das partes divulgou o número de contas afetadas nem o valor dos ativos roubados ou protegidos.
3. A Keplr alerta que os usuários que criaram contas com login do Google ou da Apple não devem, por enquanto, transferir novos fundos para essas contas e devem transferir os ativos restantes que puderem ser movidos para contas criadas com frase-semente ou carteira de hardware. Confie apenas nas atualizações dos canais oficiais da Keplr e da Web3Auth. Não clique em links enviados por mensagem privada nem em links de quem afirma que pode “ajudar a recuperar seus ativos”.
Minha opinião: praticidade no login não significa que as chaves estão nas suas mãos. O login social delega a geração e a custódia das chaves privadas a terceiros. Foi essa camada que falhou desta vez, não o sistema de autocustódia baseado em frase-semente. Se sua conta está vazia, não corra para clicar em links de “recuperação”: segundo a empresa, parte dos fundos foi transferida como medida de proteção e, até que a lista seja conferida, é difícil distinguir de imediato um resgate de um saque. Quem usa esse tipo de carteira deve, conforme as instruções oficiais, transferir primeiro os ativos que puder para uma conta com frase-semente ou carteira de hardware e aguardar novas informações sobre os ativos em staking.
Resumo de notícias públicas; não constitui recomendação de investimento.
$ATOM $TIA
Vamos aos pontos:
1. Segundo atualizações oficiais da Keplr citadas pela ChainCatcher e pela PANews em 8 de novembro, uma vulnerabilidade na infraestrutura da Web3Auth expôs as chaves privadas de algumas contas Keplr criadas com login do Google ou da Apple. As contas criadas com frase-semente ou carteira de hardware não foram afetadas. A função de login com Google/Apple está suspensa no momento.
2. A Keplr afirmou que está ajudando a Web3Auth a proteger os ativos dos usuários afetados, e que o processo ainda está em andamento. Os ativos em staking ou bloqueados são mais complexos de tratar e exigirão mais tempo. A Web3Auth informou que realizou transferências de proteção das carteiras vulneráveis que ainda não haviam sido atacadas, seguindo o mesmo caminho usado pelos invasores, e transferiu os ativos para endereços seguros de recuperação. Por isso, o saldo de algumas contas com login social pode ter diminuído ou chegado a zero sem que isso signifique necessariamente que os fundos foram roubados. As duas empresas também estão preparando uma lista de endereços de recuperação para verificação e estudando uma forma de os usuários verificarem por conta própria se foram afetados. Nenhuma das partes divulgou o número de contas afetadas nem o valor dos ativos roubados ou protegidos.
3. A Keplr alerta que os usuários que criaram contas com login do Google ou da Apple não devem, por enquanto, transferir novos fundos para essas contas e devem transferir os ativos restantes que puderem ser movidos para contas criadas com frase-semente ou carteira de hardware. Confie apenas nas atualizações dos canais oficiais da Keplr e da Web3Auth. Não clique em links enviados por mensagem privada nem em links de quem afirma que pode “ajudar a recuperar seus ativos”.
Minha opinião: praticidade no login não significa que as chaves estão nas suas mãos. O login social delega a geração e a custódia das chaves privadas a terceiros. Foi essa camada que falhou desta vez, não o sistema de autocustódia baseado em frase-semente. Se sua conta está vazia, não corra para clicar em links de “recuperação”: segundo a empresa, parte dos fundos foi transferida como medida de proteção e, até que a lista seja conferida, é difícil distinguir de imediato um resgate de um saque. Quem usa esse tipo de carteira deve, conforme as instruções oficiais, transferir primeiro os ativos que puder para uma conta com frase-semente ou carteira de hardware e aguardar novas informações sobre os ativos em staking.
Resumo de notícias públicas; não constitui recomendação de investimento.
$ATOM $TIA
