Срочный перевод активов на 5,6 млн долларов! Web3Auth наперегонки с атакующими пытается спасти средства из нескольких кошельков Keplr.
Инцидент произошёл из-за уязвимости в сервисе Web3Auth: были раскрыты приватные ключи некоторых кошельков Keplr, созданных с помощью входа через Google или Apple.
Позже Web3Auth опубликовал 12 адресов для восстановления. Данные блокчейна показывают, что сейчас на этих адресах хранится около 5,6 млн долларов в криптоактивах, в том числе примерно 2,49 млн ATOM стоимостью около 3,3 млн долларов.
Однако эта спасательная операция не означает, что удалось сохранить все средства.
В своём объявлении Web3Auth упомянул «первоначального атакующего», дав понять, что некоторые кошельки подверглись атаке ещё до перевода средств на безопасные адреса. Точная сумма похищенных средств пока не раскрыта.
Сооснователь Keplr Джош Ли предполагает, что затронуто около 20% аккаунтов, использующих вход через Google и Apple, но атакующие смогли воспользоваться уязвимостью лишь в небольшой части из них.
Самое тревожное в этом инциденте — пользователи могли никогда не видеть свою сид-фразу и не раскрывать приватные ключи самостоятельно, но всё равно потерять контроль над кошельком из-за уязвимости в инфраструктуре стороннего сервиса авторизации.
Безопасность Web3-кошелька зависит не только от протокола блокчейна и действий самого пользователя: сервис управления ключами, лежащий в основе кошелька, тоже может стать самым слабым звеном всей системы.
Инцидент произошёл из-за уязвимости в сервисе Web3Auth: были раскрыты приватные ключи некоторых кошельков Keplr, созданных с помощью входа через Google или Apple.
Позже Web3Auth опубликовал 12 адресов для восстановления. Данные блокчейна показывают, что сейчас на этих адресах хранится около 5,6 млн долларов в криптоактивах, в том числе примерно 2,49 млн ATOM стоимостью около 3,3 млн долларов.
Однако эта спасательная операция не означает, что удалось сохранить все средства.
В своём объявлении Web3Auth упомянул «первоначального атакующего», дав понять, что некоторые кошельки подверглись атаке ещё до перевода средств на безопасные адреса. Точная сумма похищенных средств пока не раскрыта.
Сооснователь Keplr Джош Ли предполагает, что затронуто около 20% аккаунтов, использующих вход через Google и Apple, но атакующие смогли воспользоваться уязвимостью лишь в небольшой части из них.
Самое тревожное в этом инциденте — пользователи могли никогда не видеть свою сид-фразу и не раскрывать приватные ключи самостоятельно, но всё равно потерять контроль над кошельком из-за уязвимости в инфраструктуре стороннего сервиса авторизации.
Безопасность Web3-кошелька зависит не только от протокола блокчейна и действий самого пользователя: сервис управления ключами, лежащий в основе кошелька, тоже может стать самым слабым звеном всей системы.