КриптоЛампа
Web3Auth перевела около $5,6 млн из уязвимых кошельков Keplr
После инцидента с инфраструктурой Web3Auth команда переместила около $5,6 млн в защищённые кошельки. Ущерб от действий злоумышленника пока не установлен.
Web3Auth сообщила, что перевела около $5,6 млн из уязвимых кошельков Keplr на специальные защищённые адреса. Операцию по спасению активов команда начала 7 ноября при содействии Keplr.
Уязвимость обнаружили в инфраструктуре Web3Auth, которая обеспечивает вход в Keplr через Google и Apple. По словам сооснователя Keplr Джоша Ли, код самого кошелька не взламывали. Проблема могла затронуть около 20% аккаунтов, созданных через эти сервисы, однако злоумышленники воспользовались только частью из них. Кошельки, созданные с помощью сид-фразы или аппаратного устройства, не пострадали.
6 ноября Web3Auth отключила сервис встроенных кошельков. Затем команда входила в уязвимые аккаунты тем же способом, что и злоумышленник, и переводила активы для последующего возврата владельцам. 8 ноября компания опубликовала 12 адресов для восстановления. На них находилось около 2,49 млн ATOM стоимостью $3,3 млн; часть монет была застейкана. Чтобы не ждать 21 день до вывода, их обменяли на ликвидные токены.
7 ноября Bitquery сообщила о краже более $6 млн из более чем 44 000 кошельков Keplr. Аналитики насчитали около 44 700 уникальных адресов с учётом пересечений между сетями Cosmos и Injective. Однако часть переводов, отнесённых к действиям хакеров, оказалась операцией по спасению средств. Web3Auth не раскрыла, сколько кошельков опустошил злоумышленник и каков фактический ущерб.
Web3Auth и Keplr ищут способ вернуть выведенные средства владельцам, но сроки не названы. Keplr рекомендовала пользователям, входившим через Google или Apple, не пополнять такие кошельки и перенести оставшиеся активы на адреса с сид-фразой или аппаратной защитой. Компания также предупредила о мошенниках, обещающих помощь с возвратом средств.
Разобраться в теме новости
Address poisoning: как подменяют похожий адрес в истории
Почему нельзя копировать получателя из случайного перевода. Как проверять полный адрес, собственную адресную книгу и реквизиты перед отправкой криптовалюты.
Открыть инструкцию ПОШАГОВО
Антифишинговый код в письмах биржи: настройка и пределы защиты
Как задать узнаваемый код биржевых писем, проверить его на уведомлениях и действовать при несовпадении, не доверяя одному признаку подлинности.
Открыть инструкцию ПОШАГОВОПочему approve и swap требуют двух подтверждений
Разбираем, чем разрешение на списание отличается от обмена, как проверить spender и лимит и почему успешный approve ещё не означает покупку токена.
Открыть инструкцию