Ví Keplr đăng nhập bằng Google hoặc Apple gặp sự cố: hạ tầng của Web3Auth, dịch vụ đăng nhập bên thứ ba, đã xảy ra lỗ hổng khiến khóa riêng tư của một số tài khoản đăng nhập qua mạng xã hội bị lộ.
Một vài điểm cần lưu ý:
1. Theo cập nhật chính thức của Keplr được ChainCatcher và PANews dẫn lại ngày 8 tháng 11: lỗ hổng hạ tầng Web3Auth khiến khóa riêng tư của một số tài khoản Keplr được tạo bằng cách đăng nhập Google hoặc Apple bị lộ. Các tài khoản tạo bằng cụm từ khôi phục hoặc ví phần cứng không bị ảnh hưởng. Tính năng đăng nhập bằng Google/Apple hiện đã tạm ngừng.
2. Keplr cho biết đang phối hợp với Web3Auth để bảo vệ tài sản của người dùng bị ảnh hưởng; quá trình xử lý vẫn đang diễn ra. Việc xử lý tài sản đang staking hoặc bị khóa phức tạp hơn và cần thêm thời gian. Web3Auth cho biết họ đã chuyển tài sản để bảo vệ các ví chưa bị tấn công nhưng vẫn còn dễ bị tổn thương, thông qua cùng một phương thức mà kẻ tấn công sử dụng, rồi chuyển tài sản đến địa chỉ khôi phục an toàn. Vì vậy, số dư của một số tài khoản đăng nhập qua mạng xã hội bị giảm hoặc về 0 không nhất thiết có nghĩa là tài sản đã bị đánh cắp. Hai bên cũng đang chuẩn bị danh sách địa chỉ khôi phục để người dùng xác minh, đồng thời nghiên cứu cách để người dùng tự kiểm tra tài khoản có bị ảnh hưởng hay không. Hiện cả hai bên đều chưa công bố số lượng tài khoản bị ảnh hưởng, cũng như số tiền bị đánh cắp hoặc đã được bảo toàn.
3. Keplr khuyến cáo người dùng tạo tài khoản bằng cách đăng nhập Google hoặc Apple tạm thời không chuyển thêm tiền vào tài khoản đó, đồng thời chuyển số tài sản còn lại có thể chuyển được sang tài khoản tạo bằng cụm từ khôi phục hoặc ví phần cứng. Chỉ tin các cập nhật từ tài khoản chính thức của Keplr và Web3Auth; đừng nhấp vào tin nhắn riêng hay liên kết từ những người tự xưng là “giúp bạn khôi phục tài sản”.
Quan điểm cá nhân: Đăng nhập tiện lợi không có nghĩa là bạn nắm giữ chìa khóa. Đăng nhập qua mạng xã hội giao việc tạo và lưu trữ khóa riêng tư cho bên thứ ba; lần này lỗ hổng nằm ở lớp đó, chứ không phải hệ thống tự quản lý bằng cụm từ khôi phục. Nếu tài khoản trống, đừng vội nhấp vào liên kết “khôi phục” — phía chính thức cho biết một phần tài sản đã được chuyển để bảo vệ, và trước khi đối chiếu xong danh sách thì khó có thể phân biệt ngay đó là cứu hộ hay bị vét sạch. Ai đang dùng loại ví này hãy làm theo hướng dẫn chính thức: trước tiên chuyển tài sản có thể chuyển sang tài khoản dùng cụm từ khôi phục hoặc ví phần cứng; với phần đang staking thì chờ thông báo tiếp theo.
Chỉ tổng hợp thông tin từ các bài viết công khai, không cấu thành lời khuyên đầu tư.
$ATOM $TIA
Một vài điểm cần lưu ý:
1. Theo cập nhật chính thức của Keplr được ChainCatcher và PANews dẫn lại ngày 8 tháng 11: lỗ hổng hạ tầng Web3Auth khiến khóa riêng tư của một số tài khoản Keplr được tạo bằng cách đăng nhập Google hoặc Apple bị lộ. Các tài khoản tạo bằng cụm từ khôi phục hoặc ví phần cứng không bị ảnh hưởng. Tính năng đăng nhập bằng Google/Apple hiện đã tạm ngừng.
2. Keplr cho biết đang phối hợp với Web3Auth để bảo vệ tài sản của người dùng bị ảnh hưởng; quá trình xử lý vẫn đang diễn ra. Việc xử lý tài sản đang staking hoặc bị khóa phức tạp hơn và cần thêm thời gian. Web3Auth cho biết họ đã chuyển tài sản để bảo vệ các ví chưa bị tấn công nhưng vẫn còn dễ bị tổn thương, thông qua cùng một phương thức mà kẻ tấn công sử dụng, rồi chuyển tài sản đến địa chỉ khôi phục an toàn. Vì vậy, số dư của một số tài khoản đăng nhập qua mạng xã hội bị giảm hoặc về 0 không nhất thiết có nghĩa là tài sản đã bị đánh cắp. Hai bên cũng đang chuẩn bị danh sách địa chỉ khôi phục để người dùng xác minh, đồng thời nghiên cứu cách để người dùng tự kiểm tra tài khoản có bị ảnh hưởng hay không. Hiện cả hai bên đều chưa công bố số lượng tài khoản bị ảnh hưởng, cũng như số tiền bị đánh cắp hoặc đã được bảo toàn.
3. Keplr khuyến cáo người dùng tạo tài khoản bằng cách đăng nhập Google hoặc Apple tạm thời không chuyển thêm tiền vào tài khoản đó, đồng thời chuyển số tài sản còn lại có thể chuyển được sang tài khoản tạo bằng cụm từ khôi phục hoặc ví phần cứng. Chỉ tin các cập nhật từ tài khoản chính thức của Keplr và Web3Auth; đừng nhấp vào tin nhắn riêng hay liên kết từ những người tự xưng là “giúp bạn khôi phục tài sản”.
Quan điểm cá nhân: Đăng nhập tiện lợi không có nghĩa là bạn nắm giữ chìa khóa. Đăng nhập qua mạng xã hội giao việc tạo và lưu trữ khóa riêng tư cho bên thứ ba; lần này lỗ hổng nằm ở lớp đó, chứ không phải hệ thống tự quản lý bằng cụm từ khôi phục. Nếu tài khoản trống, đừng vội nhấp vào liên kết “khôi phục” — phía chính thức cho biết một phần tài sản đã được chuyển để bảo vệ, và trước khi đối chiếu xong danh sách thì khó có thể phân biệt ngay đó là cứu hộ hay bị vét sạch. Ai đang dùng loại ví này hãy làm theo hướng dẫn chính thức: trước tiên chuyển tài sản có thể chuyển sang tài khoản dùng cụm từ khôi phục hoặc ví phần cứng; với phần đang staking thì chờ thông báo tiếp theo.
Chỉ tổng hợp thông tin từ các bài viết công khai, không cấu thành lời khuyên đầu tư.
$ATOM $TIA
