Web3Auth вывела $5,6 млн из кошельков Keplr, чтобы опередить хакера

В ночь на 7 ноября Web3Auth сообщила в X о проблеме безопасности в своих сервисах и приостановила встроенные кошельки. Утром Keplr написала о транзакциях, которых владельцы не совершали, в аккаунтах, созданных через Google или Apple, и отключила такой вход. Позже Web3Auth уточнила, что проблема сидела в её инфраструктуре, а Keplr добавила, что она привела к утечке приватных ключей.

Почему баланс пустой, хотя хакер до него не добрался

«Это не взлом кода Keplr», написал сооснователь Keplr Джош Ли, его слова приводит The Block. По его оценке, под угрозой оказались около 20% аккаунтов со входом через Google и Apple, а реально атакованы лишь часть из них.

Вечером 7 ноября Web3Auth объявила, что начала «белое» восстановление: она опустошает уязвимые кошельки, которых атакующий ещё не коснулся, тем же путём, что и он. 8 ноября компания опубликовала список из 12 адресов восстановления, Keplr повторила его у себя. По данным The Block, на этих адресах около $5,6 млн, больше всего в сети Cosmos Hub: примерно 2,49 млн ATOM на $3,3 млн.

Аналитики Bitquery сначала приняли эти переводы за кражу, а потом переписали расследование. Они насчитали не меньше 44 041 кошелька на семи сетях Cosmos и ещё 7 603 на Injective, которые отправили средства на адреса Web3Auth: $6,01 млн по ценам 7 ноября. Медианный кошелёк отдал $1,34. Ещё 1,96 млн застейканных ATOM ушли без обычного 21-дневного ожидания: стейк превращали в токены-доли.

Чего компании пока не сказали

Сколько кошельков опустошил сам хакер и сколько он забрал, неизвестно. Ни компании, ни Bitquery не назвали ни одного его адреса, а Web3Auth не ответила The Block на вопрос о сумме. Как и когда пользователям вернут средства, тоже не объявлено. Keplr обещает вместе с Web3Auth сделать способ проверить, затронут ли аккаунт.

Keplr и Web3Auth советуют владельцам аккаунтов со входом через Google и Apple:

• не отправлять новые средства на такой аккаунт;
• не импортировать и не пересоздавать его в других приложениях;
• перевести оставшиеся свободные активы на кошелёк с сид-фразой или аппаратный;
• верить обновлениям только от @keplrwallet и @Web3Auth, игнорировать личные сообщения и ссылки с предложением «восстановления».

Есть и неприятная деталь из отчёта Bitquery. У части кошельков адрес для наград за стейкинг перенаправлен на адрес восстановления, и награды продолжают уходить туда. Поменять настройку можно только подписью тем же скомпрометированным ключом, поэтому новые средства лучше держать в новом кошельке.

Кошельки с сид-фразой и аппаратные кошельки, по словам Keplr, не пострадали. Разница в том, где живёт ключ: при входе через соцсеть его за пользователя собирает сторонний сервис, подробнее о том, как устроены Web3-кошельки. Похожий порядок действий мы разбирали в материале о том, что делать после взлома Keystone.

Если перевод из вашего кошелька ушёл на один из 12 адресов из списка Web3Auth, средства, по словам компании, у неё, а не у хакера. Гарантией возврата это станет только после того, как Web3Auth объявит порядок выплат. Любой, кто до этого пишет в личку и предлагает вернуть деньги, работает не на Keplr и не на Web3Auth.