Sikkerhetsfeil i Web3Auth brukt til å stjele kryptovaluta fra Keplr-lommebøker

Black and white piano keys arranged in rows — Zulfugar Karimov / Unsplash

Noen personer som opprettet en Keplr-kryptolommebokk ved hjelp av Google- eller Apple-kontoen sin, fikk stjålet penger av en angriper. Keplr bruker selskapet Web3Auth til å kjøre Google- og Apple-pålogging. Angriperen utnyttet en sikkerhetsfeil hos Web3Auth for å nå lommebøkene, ifølge begge selskapene som uttalte seg sent forrige uke.

Web3Auth brukte deretter angriperens egen rute til å tømme andre lommebøker som var i fare før angriperen nådde dem. Selskapet flyttet pengene med hjelp fra lommebokprodusenten til gjenopprettingslommebøker for sikkerhet. En tom saldo kan derfor bety at pengene ble reddet, ikke stjålet.

Lommebøker som ble opprettet med en gjenopprettingsfrase eller en maskinvarelommebokk er ikke påvirket, ifølge lommebokprodusenten. Selskapet har satt Google- og Apple-pålogging på pause mens det etterforsker hendelsen.

Web3Auth sa i en oppdatering at en sikkerhetsfeil i sin egen infrastruktur påvirket visse lommebøker som det tilbyr inne i Keplr-appen. Keplr gikk videre og sa at feilen førte til et brudd på private nøkler for noen brukere som logget seg på med Google eller Apple. En privat nøkkel er den hemmelige koden som godkjenner betalinger fra en lommebokk, så den som holder den kan flytte pengene.

Ingen av selskapene har sagt hvordan feilen fungerte, når angriperen først brukte den, eller om ruten nå er lukket. Josh Lee, en medgrunnlegger av Keplr, ga et tidlig estimat i sine første funn: omtrent 20 prosent av Google- og Apple-påloggingskontoer var påvirket, og bare en brøkdel av disse så ut til å ha blitt utnyttet.

GoPlus, et Web3-sikkerhetselskap, sa i en sikkerhetsvarsel at minst omkring 1 million dollar var blitt stjålet. Det forklarte ikke hvordan det kom fram til dette tallet. Bitquery, et blokkjedatafirma, telte minst 6,01 millioner dollar som flyttet fra mer enn 44 000 lommebøker til gjenopprettingslommebøkene sent forrige uke. Firmaet rapporterte først overføringene som tyveri, men har siden gitt en korrigert analyse som behandler dem som redning, selv om det sier at det ikke kan kontrollere hvem som kontrollerer gjenopprettingslommebøkene.

De flyttede midlene er trygge, sa Web3Auth i sin gjenopprettingstråd, og det arbeider med lommebokprodusenten for å returnere dem til brukere. Det har ikke sagt hvordan eller når. Web3Auth sa at problemet påvirker tjenestene som brukes av noen andre selskaper, men Keplr er det eneste det har navngitt. Det satte sin innebygde lommeboktjeneste på pause, som andre apper bruker til å bygge lommebøker for brukerne sine.