A Cosmos-ökoszisztéma legnépszerűbb tárcája, a Keplr péntek óta nem engedi a Google- és Apple-fiókos belépést, miután a felhasználók arról számoltak be, hogy gyanús tranzakciókkal hackerek viszik el a pénzüket. A hiba ezúttal nem a Keplr saját kódjában volt, hanem egy beszállító, a Web3Auth tehető felelőssé a felhasználók privát kulcsainak kiszivárgásáért.
Mi az a Web3Auth, és miért kezelte valaki más a kulcsokat?
A Web3Auth egy úgynevezett embedded wallet szolgáltató, vagyis olyan technológiát ad el appoknak és tárcáknak, amivel a felhasználónak nem kell seed phrase-t felírnia egy papírra. Belépsz a Google-fiókoddal, és a háttérben létrejön egy tárca, a kulcsot pedig több darabra osztva, különböző helyeken tárolják. Kényelmes, gyors, és pont az a fajta onboarding, amiről az iparág évek óta azt mondja, hogy ez hozza majd el a következő százmillió felhasználót.
A Web3Auth 2025 óta a MetaMaskot fejlesztő Consensys tulajdonában van. A cég ugyanakkor hangsúlyozza, hogy a MetaMask felhasználóit nem érinti az incidens, és egyelőre a Keplr az egyetlen nyilvánosan megnevezett áldozat, bár a Web3Auth közleménye "egyes harmadik fél szolgáltatókról" beszél, ami azért nem túl megnyugtató.
Mekkora a kár?
A blokkláncot elemző Bitquery adatai alapján nagyjából 44 700 különböző tárcából összesen mintegy 6 millió dollárnyi kripto mozdult el hét Cosmos hálózaton és az Injective-en. Ez a szám viszont nem egyenlő feltétlen egyenlő a teljes ellopott összeggel, ugyanis mind a Web3Auth és az ő partnereik is elkezdték kimenteni a pénzt a veszélyeztetett, de még ki nem fosztott tárcákból. Lényegében versenyfutás zajlik a hacker és a fejlesztők között, ugyanazt a biztonsági rést felhasználva lopásra és vagyonmentésre. Emiatt sok felhasználótól valójában nem lopták el a pénzt, csak "biztonságba helyezték". Bár ez kétségtelenül nem a legmegnyugtatóbb az érintetteknek.
A Keplr társalapítója, Josh Lee szerint a social loginos fiókok nagyjából 20 százaléka lehet érintett, de ezeknek csak egy részét fosztották ki ténylegesen. Kártérítésről egyelőre egyik cég sem nyilatkozott.
Ha Keplr-t használsz Google- vagy Apple-belépéssel: ne küldj több pénzt erre a fiókra, a maradék likvid eszközeidet pedig vidd át seed phrase-es vagy hardware wallet alapú tárcába. És vigyázz: az ilyen incidensek után mindig megjelennek az "asset recovery" csalók – csak a Keplr és a Web3Auth hivatalos csatornáinak hidd el, amit írnak.
A seed phrase-zel vagy hardware wallettel létrehozott Keplr-fiókokat nem érintette a támadás, kizárólag a Google és Apple SSO belépést használó fiókokat. A Keplr az érintetteknek azt javasolja, kizárólag a hivatalos kommunikációs felületeikről tájékozódjanak, ahol a cég további információkat nyújt majd az incidensről.
