Keplr, ארנק קריפטו לרשתות משפחת Cosmos, הודיעה על "פריצת מפתח פרטי" בארנקים שנוצרו דרך התחברות Google או Apple. המקור לבעיה הוא ספק ההתחברות Web3Auth, ולא האפליקציה עצמה.
הפרטים
לפי הדיווח, התוקף ניצל פגם בתשתית של Web3Auth ושאב כספים מארנקים שהיא מנפיקה בתוך Keplr. אף אחת מהחברות לא הסבירה איך הפגם עבד, מתי נוצל לראשונה, או אם נסגר. לא פורסם מספר CVE ולא יוחס התוקף לקבוצה כלשהי. ארנקים שנוצרו עם משפט שחזור או ארנק חומרה, לדברי Keplr, לא נפגעו.
היקף הנזק שנוי במחלוקת: GoPlus דיווחה על לפחות כמיליון דולר שנגנבו, ואילו Bitquery ספרה למעלה מ-6 מיליון דולר שעברו מיותר מ-44 אלף ארנקים לארנקי שחזור, ותיקנה את הניתוח שלה מ"גניבה" ל"חילוץ". Web3Auth מסרה שהעבירה בעצמה כספים מארנקים בסיכון לארנקי שחזור, בדרך שבה השתמש התוקף, ושהכספים בטוחים, אך לא אמרה איך ומתי יוחזרו. לא ניתן לאמת באופן עצמאי מי שולט בארנקי השחזור. לפי הדיווח, MetaMask לא נמצאה כמושפעת בבדיקה ראשונית.
נקודות לשים לב
- אם יצרת ארנק Keplr עם Google או Apple, העבר נכסים שאינם נעולים או מושקעים בסטייקינג לארנק עם משפט שחזור או ארנק חומרה, לפי ההנחיה של Keplr.
- אל תייבא מחדש ואל תיצור מחדש את החשבון המושפע, ואל תשלח אליו כספים חדשים.
- התעלם מהצעות "שחזור" בהודעות פרטיות או בקישורים. סמוך רק על ערוצים רשמיים, ובדוק כתובת שאינה מוכרת מול רשימת כתובות השחזור ש-Web3Auth פרסמה לפני שאתה מניח שהיא של התוקף.
- הלקח הרחב: ארנק ללא משפט שחזור מעביר את אמון המפתח לספק ההתחברות. אם אתה מחזיק שם סכומים משמעותיים, זה סיכון ריכוזי.
- מה אין להסיק: המספרים עדיין לא סופיים, ולא ידוע אם ארנקים אחרים מבוססי Web3Auth חשופים.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
