Проблема с кошельками Keplr, в которые входили через Google или Apple: в инфраструктуре Web3Auth, сервиса стороннего входа, обнаружили уязвимость, из-за которой утекли приватные ключи некоторых аккаунтов, созданных через социальные сети.
Кратко:
1. По данным ChainCatcher и PANews от 8 ноября, согласно официальному сообщению Keplr, уязвимость в инфраструктуре Web3Auth привела к утечке приватных ключей некоторых аккаунтов Keplr, созданных через Google или Apple. Аккаунты, созданные с помощью мнемонической фразы или аппаратного кошелька, не затронуты. Функция входа через Google и Apple сейчас приостановлена.
2. Keplr сообщает, что помогает Web3Auth защитить активы затронутых пользователей; работа над устранением последствий продолжается. Обработка застейканных и заблокированных активов сложнее и потребует больше времени. Web3Auth заявила, что защитила уязвимые кошельки, которые ещё не подверглись атаке, переведя средства тем же способом, которым пользовались злоумышленники, на безопасные адреса для восстановления. Поэтому уменьшение баланса или обнуление средств на некоторых аккаунтах, созданных через социальные сети, не обязательно означает кражу. Компании также готовят список адресов для восстановления, который можно будет проверить, и изучают способы, позволяющие пользователям самостоятельно выяснить, затронут ли их аккаунт. Ни одна из сторон пока не сообщила ни число затронутых аккаунтов, ни сумму украденных или сохранённых средств.
3. Keplr предупреждает: пользователям, создавшим аккаунт через Google или Apple, пока не следует переводить на него новые средства. Оставшиеся активы, которые можно перевести, рекомендуется отправить на аккаунт, созданный с помощью мнемонической фразы или аппаратного кошелька. Доверяйте только обновлениям официальных аккаунтов Keplr и Web3Auth. Не переходите по ссылкам из личных сообщений и по ссылкам от тех, кто предлагает «помочь восстановить активы».
Моё мнение: удобный вход не означает, что ключи находятся у вас. При входе через социальные сети генерация и хранение приватных ключей передаются третьей стороне. Именно это звено и оказалось уязвимым — проблема не в системе самостоятельного хранения с помощью мнемонической фразы. Если средства на аккаунте исчезли, не спешите переходить по ссылкам «для восстановления»: представители сервиса говорят, что часть средств была переведена в целях защиты. Пока не сверили список, трудно сразу понять, было ли это спасением средств или их кражей. Если вы пользуетесь таким кошельком, сначала переведите доступные для перевода активы на аккаунт с мнемонической фразой или аппаратным кошельком, как рекомендует сервис. По поводу застейканных средств дождитесь дальнейших разъяснений.
Только изложение общедоступных сообщений, не является инвестиционной рекомендацией.
$ATOM $TIA
Кратко:
1. По данным ChainCatcher и PANews от 8 ноября, согласно официальному сообщению Keplr, уязвимость в инфраструктуре Web3Auth привела к утечке приватных ключей некоторых аккаунтов Keplr, созданных через Google или Apple. Аккаунты, созданные с помощью мнемонической фразы или аппаратного кошелька, не затронуты. Функция входа через Google и Apple сейчас приостановлена.
2. Keplr сообщает, что помогает Web3Auth защитить активы затронутых пользователей; работа над устранением последствий продолжается. Обработка застейканных и заблокированных активов сложнее и потребует больше времени. Web3Auth заявила, что защитила уязвимые кошельки, которые ещё не подверглись атаке, переведя средства тем же способом, которым пользовались злоумышленники, на безопасные адреса для восстановления. Поэтому уменьшение баланса или обнуление средств на некоторых аккаунтах, созданных через социальные сети, не обязательно означает кражу. Компании также готовят список адресов для восстановления, который можно будет проверить, и изучают способы, позволяющие пользователям самостоятельно выяснить, затронут ли их аккаунт. Ни одна из сторон пока не сообщила ни число затронутых аккаунтов, ни сумму украденных или сохранённых средств.
3. Keplr предупреждает: пользователям, создавшим аккаунт через Google или Apple, пока не следует переводить на него новые средства. Оставшиеся активы, которые можно перевести, рекомендуется отправить на аккаунт, созданный с помощью мнемонической фразы или аппаратного кошелька. Доверяйте только обновлениям официальных аккаунтов Keplr и Web3Auth. Не переходите по ссылкам из личных сообщений и по ссылкам от тех, кто предлагает «помочь восстановить активы».
Моё мнение: удобный вход не означает, что ключи находятся у вас. При входе через социальные сети генерация и хранение приватных ключей передаются третьей стороне. Именно это звено и оказалось уязвимым — проблема не в системе самостоятельного хранения с помощью мнемонической фразы. Если средства на аккаунте исчезли, не спешите переходить по ссылкам «для восстановления»: представители сервиса говорят, что часть средств была переведена в целях защиты. Пока не сверили список, трудно сразу понять, было ли это спасением средств или их кражей. Если вы пользуетесь таким кошельком, сначала переведите доступные для перевода активы на аккаунт с мнемонической фразой или аппаратным кошельком, как рекомендует сервис. По поводу застейканных средств дождитесь дальнейших разъяснений.
Только изложение общедоступных сообщений, не является инвестиционной рекомендацией.
$ATOM $TIA
