Инцидент с криптокошельком Keplr сначала оценили примерно в $6 млн похищенных активов, однако последующие данные изменили картину. Web3Auth сообщил, что значительная часть переводов, которые аналитики приняли за действия злоумышленника, на самом деле была операцией по спасению средств из уязвимых кошельков.
Проблема возникла в инфраструктуре Web3Auth, которую Keplr использовал для создания кошельков через вход с аккаунтами Google и Apple. 6 ноября Web3Auth перевёл сервис авторизации в режим обслуживания из-за инцидента с безопасностью, а позднее подтвердил, что уязвимость затронула некоторые кошельки Keplr.
Команда Keplr сообщила о несанкционированных транзакциях у части пользователей, входивших через Google или Apple. При этом кошельки, созданные с помощью слов-паролей или аппаратного устройства, по предварительной оценке компании, не пострадали. Сами сервисы Google и Apple взломаны не были — проблема находилась в инфраструктуре Web3Auth, обеспечивавшей этот способ создания кошелька.
Специалисты Bitquery проследили переводы на $6,01 млн с более чем 44 тыс. кошельков и отнёс получающие адреса к атакующему. На момент исследования Web3Auth ещё не раскрывал адреса, использовавшиеся командой для защиты средств.
Позднее выяснилось, что Web3Auth вместе с Keplr начал так называемую whitehat recovery — активы перемещались из уязвимых, но ещё не опустошённых кошельков на безопасные адреса раньше злоумышленника. Для этого использовался тот же путь доступа, которым воспользовался атакующий, поэтому со стороны защитные переводы могли выглядеть как продолжение кражи.
8 ноября Web3Auth опубликовал список своих recovery-адресов, а в Keplr подтвердили, что они относятся к операции по спасению активов, а не к кошелькам злоумышленника. На этих адресах находилось около $5,6 млн. Более того, адреса пересекались с теми, которые ранее Bitquery включил в расчёт предполагаемых потерь.
Это не означает, что реальный ущерб можно определить простым вычитанием $5,6 млн из первоначальных $6,01 млн. Несанкционированные операции действительно происходили, однако Web3Auth и Keplr пока не раскрыли, сколько средств успел получить злоумышленник, сколько кошельков были ограждены от опасности и какую сумму удалось спасти.
Для пользователей сейчас важнее статус конкретных кошельков. Keplr рекомендует владельцам аккаунтов, созданных через Google или Apple, не отправлять на них новые средства и перевести оставшиеся ликвидные активы в кошелёк со словами-паролями или на аппаратное устройство. Компания также предупреждает не пользоваться ссылками и предложениями о «восстановлении», приходящими в личных сообщениях.
Таким образом, инцидент Keplr остаётся подтверждённым взломом, но широко разошедшаяся оценка ущерба в $6 млн не может считаться достоверной суммой кражи. Значительная часть активности, первоначально приписанной хакеру, оказалась экстренным выводом средств самой командой защиты, а окончательный финансовый ущерб пока не установлен.
Заместитель главного редактора Happy Coin News. Образование: экономист. Второе образование маркетинг. В криптоиндустрии с 2014 года. Неоднократно выступал в качестве эксперта на РБК. Биткоин — это не спекуляции, а свобода. Но, свобода требует личной ответственности.
