Kripto piniginės atkūrimas gali palikti vagį su tuo pačiu raktu
Kriptografinė piniginė, leidžianti vartotojams prisijungti naudojant „Google“ ar „Apple“, vis tiek gali juos užblokuoti, kai jos prisijungimo teikėjas nustoja veikti. „Web3Auth“ saugos pauzė atskleidė šią priklausomybę ir rimtesnę problemą: kai kurių „Keplr“ vartotojų privatūs raktai galėjo būti pažeisti. Piniginės programėlėje Keplr anksčiau išsaugotas, naudotinas privatus raktas siūlo dokumentuotą maršrutą, nepriklausantį nuo Google prisijungimo. Tai neįrodo, kad incidento paveiktas raktas išlieka saugus.
Lapkričio 7 d. @keplrwallet pranešė apie neteisėtas operacijas kai kuriose paskyrose, sukurtose naudojant „Google“ arba „Apple“ prisijungimą, ir nurodė, kad šie prisijungimo būdai buvo pristabdyti. Vėliau tą pačią dieną @Web3Auth pranešė, kad nustatė savo infrastruktūros saugumo problemą, turinčią įtakos tam tikroms Keplr naudojamoms įterptinėms piniginėms. Atskleidimas paverčia klausimą apie prisijungimo prieinamumą klausimu apie tai, ką vartotojai vis dar gali valdyti, jei paskyros raktas taip pat gali būti atskleistas.
„Web3Auth“ prisijungimo tarnybos pranešimas techninės priežiūros data yra lapkričio 6 d. 18:30 UTC ir priskiriama saugos incidentui. Lapkričio 8 d. 13:08 UTC jo būsenos puslapyje vis tiek buvo pažadėtas atnaujinimas, kai paslauga bus atkurta. Rodomas priežiūros langas baigėsi lapkričio 7 d., tačiau šis galutinis taškas nepatvirtino atkūrimo.
Lapkričio 7 d. „MetaMask Builder“ pranešime teigiama, kad pradinis tyrimas nerado jokių įrodymų, kad „MetaMask“ naudotojai būtų paveikti.
Ką reiškia nepriklausoma prieiga
Keplr saugos dokumentacijoje, atnaujintoje 2025 m. rugsėjo mėn. ir vis dar prieinamoje, teigiama, kad „Google“ prisijungimo paskyros gauna šešioliktainį privatųjį raktą, sugeneruotą naudojant „Web3Auth“, o ne atkūrimo frazę. Teigiama, kad raktas yra užšifruotas ir saugomas vietoje vartotojo įrenginyje.
Toje pačioje dokumentacijoje aprašoma parinktis Žiūrėti privatųjį raktą, atsižvelgiant į kai kurių senų paskyrų išimtis. Keplr mobiliojo importavimo vadovas atskirai dokumentuoja prisijungimą prie Google ir importavimą naudojant atkūrimo frazę arba privatų raktą. Ji taip pat nurodo „Google“ prisijungusiems vartotojams saugiai išsaugoti privatųjį raktą.
Todėl išsaugotas raktas yra svarbus, nes dokumentuotas importavimo maršrutas tą paslaptį naudoja tiesiogiai, atskirai nuo „Google“ prisijungimo. Tačiau meniu, kuriame paprastai siūloma eksportuoti, neįrodo, kad kiekvienas užrakintas vartotojas gali jį pasiekti per šią pauzę. Dokumentuotas maršrutas nėra išbandytas šio incidento sprendimas.
Dėl naujesnių Keplr nurodymų ši riba tampa reikšminga. Vėlesniame lapkričio 7 d. atnaujinime @keplrwallet aprašė privataus rakto pažeidimą, paveikiantį kai kuriuos socialinio prisijungimo vartotojus, ir teigė, kad tai padeda „Web3Auth“ pastangoms apsaugoti turtą. Teigiama, kad paskyros, sukurtos naudojant atkūrimo frazes arba aparatinės įrangos pinigines, nebuvo paveiktos, o „Google“ ar „Apple“ prisijungimo paskyros gali būti paveiktos.
Toms potencialiai paveiktoms paskyroms @keplrwallet patarė nesiųsti naujų lėšų, o likęs likvidus turtas turėtų būti perkeltas į atkūrimo frazės arba aparatinės įrangos piniginės sąskaitą. Šios gairės susijusios su išteklių perkėlimu į kitą paskyrą, o tai yra atskiras veiksmas nuo to paties rakto įkėlimo į kitą programą.
Importuojant tą patį privatųjį raktą į kitą sąsają, gali pasikeisti, kaip jo savininkas pasiekia paskyrą. Tai nekeičia paslapties, suteikiančios jam teisę, ir nenustato, kad niekas kitas jos neturi. Perkeliamumas gali išspręsti prieigos priklausomybę neišsprendžiant konfidencialumo problemos.
Kuri prieigos sąlyga taikoma?
Esamoje piniginėje jau naudojamas raktas sukuria kitokią prieigos sąlygą nei reikalingas naujas teikėjo prisijungimas; dokumentai netikrina elgesio įvykio metu.
Keplr dokumentuoja privataus rakto importavimą atskirai nuo „Google“ prisijungimo. Taip lyginami prieigos maršrutai; tai nėra nurodymas iš naujo importuoti paveiktą paskyrą.
Keplr pranešė, kad „Google“ ir „Apple“ prisijungimas buvo pristabdytas 2026 m. lapkričio 7 d. Šie dokumentai nenustato nepriklausomo rakto gavimo asmeniui, kuriam reikia naujo prisijungimo.
Potencialiai paveiktose paskyrose Keplr nurodymai dėl incidentų yra svarbesni už įprastines pakartotinio importavimo instrukcijas.
Keplr dokumentacija buvo atnaujinta 2025 m. rugsėjo mėn. Šie keliai nepatvirtina esamo eksporto prieinamumo ar paskyros saugumo; pagrindinės pozicijos ir turto susigrąžinimas priklauso nuo incidentų.
Išieškojimui reikia savo apskaitos
@Web3Auth taip pat sakė, kad ji ir partneriai pradėjo whitehat atkūrimo veiklą, nukreiptą į pažeidžiamas Keplr pinigines, kurios dar nepaveiktos, naudodamiesi pradinio užpuoliko keliu. Atskirai @keplrwallet teigė, kad kai kurie sumažėję arba ištuštėję likučiai gali atspindėti švelninimo pastangas, o dėl įdėto ir užblokuoto turto darbas tapo sudėtingesnis. Vien tik nepažįstamas pervedimas ar sumažėjęs likutis negali nustatyti, kuri veikla įvyko.
Ankstesnė „CryptoSlate“ aprėptis dėl „Ledger“ / „Cosmos“ prieigos nutraukimo ir „Phantom’s Sui“ atjungimo parodė, kaip piniginės sąsajos gali apriboti praktinę prieigą.
Naudingas piniginės be sėklų testas yra tai, ar jos vartotojas turi tinkamą, nepriklausomą prieigos kelią, kol paslaugų teikėjas tampa nepasiekiamas. Per šį incidentą šis klausimas yra susijęs su neišspręstu poveikiu paskyros lygiu ir turto atkūrimu. Prisijungimo paslaugos atkūrimas atsakytų į prieinamumo klausimą; ji pati savaime neišspręstų nė vieno iš kitų.
