КриптоЛампа
Уязвимость Web3Auth затронула аккаунты Keplr, переведено активов на $6,01 млн
Keplr отключил вход через Google и Apple после несанкционированных транзакций. Bitquery выявила переводы на $6,01 млн, но часть средств могла быть перемещена в защитное хранение.
Keplr приостановил вход через Google и Apple после несанкционированных транзакций с аккаунтами, использовавшими эти способы авторизации. По словам сооснователя Chainapsis Джоша Ли, уязвимость находилась в инфраструктуре Web3Auth, а не в программном обеспечении самого кошелька.
Проблему Web3Auth сообщил 6 ноября. По предварительной оценке, она затронула около 20% аккаунтов Keplr, созданных через социальную авторизацию; злоумышленники, предположительно, воспользовались лишь частью уязвимых аккаунтов.
Bitquery проанализировала транзакции за 6–7 ноября и выявила переводы в восьми сетях Cosmos. Адреса-сборщики получили активы, оценённые 7 ноября в сумму не менее $6,01 млн: около $3,50 млн пришлось на Cosmos Hub, $1,04 млн — на Osmosis и $615 000 — на Injective.
Анализ выявил примерно 44 700 уникальных приватных ключей, связанных с операциями. Однако сумма переводов не равна подтверждённым невозвратным потерям: Keplr и Web3Auth заявили, что белые хакеры перемещали уязвимые активы в защитное хранение. 8 ноября Keplr обнаружил адреса восстановления, совпавшие с несколькими кошельками-сборщиками.
Компании не раскрыли точную техническую причину уязвимости, итоговый размер потерь и график возмещения. Web3Auth сообщила, что средства, перемещённые в ходе защитных операций, остаются в безопасности.
Разобраться в теме новости
Address poisoning: как подменяют похожий адрес в истории
Почему нельзя копировать получателя из случайного перевода. Как проверять полный адрес, собственную адресную книгу и реквизиты перед отправкой криптовалюты.
Открыть инструкцию ПОШАГОВО
Антифишинговый код в письмах биржи: настройка и пределы защиты
Как задать узнаваемый код биржевых писем, проверить его на уведомлениях и действовать при несовпадении, не доверяя одному признаку подлинности.
Открыть инструкцию ПОШАГОВОПочему approve и swap требуют двух подтверждений
Разбираем, чем разрешение на списание отличается от обмена, как проверить spender и лимит и почему успешный approve ещё не означает покупку токена.
Открыть инструкцию