Beveiligingsfout bij Web3Auth leidt tot diefstal van cryptogeld uit Keplr-portemonnees

Worn piano keys with a soft, out-of-focus background — Lolita Ruckert / Unsplash

Een beveiligingsfout bij Web3Auth, een bedrijf dat inlogfunctionaliteit verzorgt, is misbruikt om geld te stelen uit cryptoportemonnees van gebruikers die hun Keplr-portemonnee hebben gekoppeld aan Google- of Apple-accounts.

Keplr maakt gebruik van Web3Auth voor het inloggen via Google en Apple. Een aanvaller exploiteerde een beveiligingsfout in de infrastructuur van Web3Auth om toegang te krijgen tot de portemonnees, aldus beide bedrijven eind vorige week. Web3Auth stelde vast dat bepaalde portemonnees in de Keplr-app waren getroffen door een beveiligingsprobleem.

Keplr beschreef het incident als een "privésleutelbreuk" voor sommige gebruikers die zich aanmeldden via Google of Apple. Een privésleutel is de geheime code die betalingen van een portemonnee goedkeurt, dus wie deze bezit kan het geld verplaatsen.

Web3Auth gebruikte vervolgens dezelfde route als de aanvaller om andere portemonnees met risico leeg te maken voordat de aanvaller daar kon toeslaan. Het bedrijf verplaatste dat geld, met hulp van de portemonneemaker, naar herstelportemonnees ter beveiliging. Een leeg saldo kan dus betekenen dat het geld is gered, niet gestolen.

Portemonnees die zijn gemaakt met een herstelzin (een back-uplijs van 12 of 24 woorden) of een hardwareportemonnee zijn niet getroffen. Keplr heeft Google en Apple-inloggen onderbroken terwijl het onderzoek loopt. Het bedrijf werkt ook met Web3Auth aan een manier voor gebruikers om te controleren of hun account is getroffen.

Web3Auth heeft een lijst met herstelposten gepubliceerd waarmee gebruikers hun eigen overdrachten kunnen onderscheiden van mogelijk kwaadaardige. Het waarschuwde gebruikers ook niet aan te nemen dat een onbekend bestemmingsadres aan de aanvaller is gekoppeld.

Josh Lee, een medeoprichter van Keplr, gaf een vroege schatting: ongeveer 20 procent van de Google- en Apple-inlogaccounts waren getroffen, en slechts een fractie daarvan leek te zijn misbruikt. GoPlus, een Web3-beveiligingsbedrijf, meldde dat minstens ongeveer 1 miljoen dollar was gestolen, zonder uit te leggen hoe het tot dat getal kwam.

Bitquery, een blockchaingegevensbedrijf, telde minstens 6,01 miljoen dollar die van meer dan 44.000 portemonnees naar herstelportemonnees stroomde eind vorige week. De eerste van deze overdrachten vond 21 minuten plaats voordat Web3Auth zijn eerste openbare mededeling deed. 86 procent van de portemonnees werd leeggemaakt nadat Keplr gebruikers waarschuwde.

Web3Auth zei dat het probleem ook van invloed is op diensten die door andere bedrijven worden gebruikt, maar Keplr is het enige dat het heeft genoemd. Het bedrijf onderbroken zijn ingebedde portemonneeservice, die andere apps gebruiken om portemonnees voor hun gebruikers te bouwen. Web3Auth zei dat het geld veilig is en werkt met Keplr aan terugbetaling aan gebruikers, maar gaf geen details over hoe of wanneer.