• В субботу Мишабоар опубликовал в X предупреждение против социальной авторизации

• Keplr получил сообщения о несанкционированных транзакциях в аккаунтах, созданных через Google или Apple

• Web3Auth сообщил, что первоначальное расследование не выявило признаков того, что пострадали пользователи MetaMask

Мишабоар предупреждает об опасности социальной авторизации

Один из представителей сообщества Dogecoin (DOGE) назвал социальную авторизацию угрозой безопасности. Его предупреждение прозвучало уже после того, как ведущий поставщик инфраструктуры для таких способов входа отключил свой сервис. Мишабоар, давний комментатор экосистемы Dogecoin, опубликовал в субботу пост в X, раскритиковав функцию, которая позволяет создавать криптокошелёк и получать к нему доступ через аккаунт Google, Apple ID, учётную запись Telegram или адрес электронной почты вместо использования сид-фразы. В посте Мишабоара в X говорится, в частности: «Социальная авторизация — функция, которую стоит добавить в кошелёк, если вы ненавидите своих пользователей». По мнению Мишабоара, чаще всего вариант входа в один клик выбирают новички, только начинающие знакомство с криптовалютами, — люди, которые могут не понимать, чем рискуют, подключая личный аккаунт к сервису кошелька. По его словам, опасность не ограничивается средствами в кошельке: утечка данных через тот же канал может связать реальную личность человека с его активами в блокчейне, что может привести к ужасным последствиям. Его предупреждение относится и к кошелькам, которые сохраняют резервные копии ключей «в облаке», что, как он выразился, означает лишь сервер, принадлежащий кому-то другому. Как утверждает Мишабоар, удобство как раз и делает эту функцию опасной: она избавляет от шага с сид-фразой, который заставляет пользователя осознать, что ключ находится только у него. Это предостережение прозвучало на фоне и без того напряжённой ситуации на рынке: октябрь Dogecoin завершил падением на 20,1% — второй месяц подряд с убытками в рамках «Аптобера», — из-за чего сообщество особенно остро реагирует на всё, что может отпугнуть розничных новичков, от которых зависит мемная монета.

Keplr передает дело в Web3Auth

Keplr — мультисетеевой кошелек с поддержкой Cosmos, Bitcoin, Ethereum и Starknet — подтвердил, что за предупреждением стоит текущий инцидент. В собственном заявлении провайдер кошелька сообщил, что получил сведения о несанкционированных транзакциях с некоторых аккаунтов Keplr, созданных с помощью входа через Google или Apple, и передал дело команде Web3Auth; обе стороны проводят совместное расследование. Web3Auth, поставщик инфраструктуры встроенных кошельков, на которой работают эти способы входа, принял меры еще до того, как информация стала публичной: компания сообщила, что знает о проблеме безопасности, затрагивающей использование ее сервисов некоторыми сторонними организациями, и в ответ временно приостановила работу сервиса встроенных кошельков. По итогам предварительного расследования компания заявила, что не обнаружила свидетельств того, что пострадали пользователи MetaMask. Особенности этой схемы объясняют, почему она вызывает столько критики. При входе через социальные аккаунты ключи, которые обычно существуют только на стороне пользователя, генерируются и хранятся в инфраструктуре под контролем поставщика, а доступ к ним зависит от безопасности обычного аккаунта. Такая схема больше похожа на горячий кошелек под управлением третьей стороны, чем на модель самостоятельного хранения, которую, как предполагает большинство покупателей, они выбирают, и концентрирует риски в сервисе, который может быть взломан. Сторонники безопасности давно выступают за альтернативу — аппаратный кошелек, сид-фраза которого никогда не покидает пользователя, — именно потому, что он исключает поставщика из цепочки хранения. Пока что опубликованных сведений мало: аудит безопасности блокчейна после инцидента не обнародован, Keplr не сообщил, сколько аккаунтов пострадало и какие суммы были переведены, а Web3Auth не назвал дату возобновления приостановленного сервиса.

Число, которое не назвал ни один из поставщиков

Для держателей Dogecoin практический вывод узок, но однозначен. Вход через социальные аккаунты позволяет быстрее начать работу, но в обмен на это пользователь передает контроль над ключом; когда такая схема дает сбой, поставщик не несет убытки. Замечание Mishaboar о привязке к личности остается в силе, даже если средства не пострадали при взломе. Его послужной список не позволяет отмахнуться от предупреждения как от FUD: ранее он советовал покупателям Dogecoin вывести средства из-за подозрений в наличии импланта в устройствах Trezor. Неизвестным остается то, о чем никто не сообщил: число пострадавших аккаунтов, полный список кошельков, зависящих от приостановленного сервиса, и дата его возобновления. Пока один из поставщиков не предоставит эти сведения, сам аккаунт для входа следует считать ключом.