Keplr setzt Google- und Apple-Logins nach Web3Auth-Sicherheitslücke aus – Abflüsse von 6 Mio. US-Dollar
Keplr hat Google- und Apple-Social-Logins am 7. November ausgesetzt, nachdem unautorisierte Transaktionen auf Konten zurückverfolgt wurden, die über Web3Auth offengelegt worden waren, einen Authentifizierungsanbieter im Besitz von Consensys. Die Blockchain-Analysefirma Bitquery schätzt, dass rund 6,01 Mio. US-Dollar von etwa 44.700 Wallets über Cosmos-Netzwerke und Injective bewegt wurden.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was Keplr offengelegt hat
Keplr hat die Login-Optionen über Google und Apple in einer Sicherheitsmitteilung vom 7. November ausgesetzt, nachdem Meldungen über unautorisierte Transaktionen auf Konten eingegangen waren, die über Social Logins erstellt wurden. Das Wallet erklärte in seiner ersten Einschätzung, dass Konten mit Wiederherstellungsphrase und Hardware-Wallets nicht betroffen seien, und riet Nutzern von Social Logins, keine Gelder mehr an ihre Konten zu senden.
Keplr-Mitgründer Josh Lee sagte, der Vorfall sei nicht im eigenen Wallet-Code von Keplr entstanden. Er führte ihn auf Web3Auth zurück, einen externen Authentifizierungsanbieter, den Keplr nutzt, und erklärte, dass möglicherweise rund 20 % der Google- und Apple-Login-Konten der Plattform betroffen sein könnten, wobei nur ein Bruchteil tatsächlich ausgenutzt worden sei.
Wo die Sicherheitslücke liegt
Web3Auth, das im Besitz von Consensys ist, ermöglicht es Nutzern, Wallets über bestehende Online-Konten zu erstellen und darauf zuzugreifen, ohne während des Onboardings Wiederherstellungsphrasen verwalten zu müssen. Der Anbieter räumte ein infrastrukturelles Problem ein, das bestimmte eingebettete Wallets betrifft, die von Keplr genutzt werden, und setzte seinen Dienst für eingebettete Wallets vorübergehend aus, während er die Ursache untersuchte. Web3Auth teilte mit, es gebe keine Hinweise darauf, dass MetaMask-Nutzer betroffen seien, hat jedoch keine vollständige Liste anderer offengelegter Wallet-Anbieter veröffentlicht und bisher nicht öffentlich erklärt, über welchen technischen Einstiegspunkt private Schlüssel kompromittiert werden konnten.
Umfang der Transfers und umstrittene Zahlen
Bitquery verfolgte rund 6,01 Mio. US-Dollar an Vermögenswerten über zwei Sammeladressen, die mit dem Vorfall vom 6. bis 7. November in Verbindung stehen. Die Firma identifizierte 44.041 betroffene Wallets in sieben Cosmos-Netzwerken und 7.603 Adressen auf Injective und schätzte nach Bereinigung um Überschneidungen rund 44.700 eindeutige Wallets. Auf den Cosmos Hub entfielen etwa 3,5 Mio. US-Dollar der Gesamtsumme; weitere Transfers betrafen Osmosis, Celestia, Akash, Noble, Babylon, dYdX und Injective.
Die Quellen unterscheiden sich darin, wie viel dieser Aktivität tatsächlich Diebstahl darstellt. Bitquery berichtete, dass rund 86 % der betroffenen Wallets in den verknüpften Netzwerken nach Keplrs ursprünglicher Warnung ausgehende Transfers durchführten, und verzeichnete 1,96 Mio. gestakte ATOM, die über die Tokenisierung von Staking-Anteilen bewegt wurden und dabei die übliche 21-tägige Entbindungsfrist umgingen. Web3Auth erklärte später, seine autorisierten Wiederherstellungsteams hätten Vermögenswerte auf ähnlichen Transaktionswegen bewegt. Die erfassten Transfers können daher noch nicht alle als bestätigte, vom Angreifer kontrollierte Verluste gewertet werden, da Wiederherstellungsadressen von schädlichen Zieladressen getrennt werden müssen.
Wiederherstellungsmaßnahmen
Da einige verwundbare Konten noch Guthaben halten, haben Web3Auth und seine Partner sogenannte Whitehat-Wiederherstellungsmaßnahmen eingeleitet, die darauf abzielen, Vermögenswerte in Sicherheit zu bringen, bevor Angreifer darauf zugreifen können. Weder Keplr noch Web3Auth haben bislang einen abgestimmten Verlustbetrag veröffentlicht, der wiederhergestellte Vermögenswerte von Verlusten trennt, und die Grundursache ist öffentlich weiterhin ungeklärt.
Warum das wichtig ist
Für Trader
Inhaber von ATOM und anderen Token aus dem Cosmos-Ökosystem sollten auf weitere Abflüsse und auf einen abgestimmten Verlustbetrag achten, da die endgültige Summe zwischen den Quellen weiterhin umstritten ist.
Für Investoren
Der Vorfall verdeutlicht das Konzentrationsrisiko in der Authentifizierungsinfrastruktur von Drittanbietern, auf die sich viele Wallets stützen, und dürfte die Aufmerksamkeit auf Anbieter eingebetteter Wallets lenken.
Für Entwickler
Teams, die Web3Auth oder vergleichbare SDKs für eingebettete Wallets nutzen, sollten ihre Abhängigkeit von externen Schlüsselverwaltungsdiensten prüfen sowie ihre Pläne für Incident Response und Schlüsselwiederherstellung überarbeiten.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
