Wallet Keplr con accesso social interessati da una falla di sicurezza di Web3Auth

La falla di Web3Auth interessa alcuni wallet Keplr con accesso social

Alcuni utenti Keplr che avevano creato i propri wallet tramite accesso con Google o Apple sono stati interessati da una falla di sicurezza nell’infrastruttura fornita da Web3Auth. L’incidente non è descritto come una compromissione generale di tutti i wallet Keplr: l’esposizione dichiarata riguarda una specifica modalità di creazione dei wallet. Keplr afferma che gli account creati con una frase di recupero o un hardware wallet non corrono rischi, distinguendo chiaramente gli account con accesso social da queste altre configurazioni.

Web3Auth fornisce strumenti di accesso che consentono alle applicazioni di creare wallet crypto tramite account social. Il 6 novembre ha sospeso il proprio servizio di wallet integrato e messo in manutenzione il servizio di accesso. Inizialmente, l’azienda aveva dichiarato di non aver rilevato alcun impatto sugli utenti MetaMask, che a ottobre erano stati interessati da un incidente di sicurezza distinto. Il giorno seguente, Web3Auth ha ricondotto la falla alla propria infrastruttura e confermato che alcuni wallet Keplr erano stati interessati.

Dopo la conferma, Keplr ha disattivato gli accessi con Google e Apple. Questa misura limita l’uso delle opzioni di accesso interessate, ma l’account fornito non indica quando saranno ripristinate né se tutti gli account coinvolti siano stati messi in sicurezza. Bitquery ha conteggiato circa 44.700 wallet Keplr interessati, distribuiti su otto blockchain basate su Cosmos. La portata dell’incidente coinvolge più reti, ma il conteggio non stabilisce di per sé quanto abbia perso ciascun utente né se tutti i wallet conteggiati siano stati svuotati.

Come l’incidente ha coinvolto gli utenti Keplr

Bitquery ha attribuito al drenaggio oltre 6 milioni di dollari e ha riferito che la singola perdita più ingente è stata di circa 325.000 dollari. Queste cifre descrivono l’attività on-chain individuata tramite il suo monitoraggio e non vanno considerate come una perdita finale confermata per gli utenti. Web3Auth afferma che alcuni indirizzi identificati come wallet degli aggressori sono in realtà wallet di recupero della società. Di conseguenza, il totale riportato nei titoli potrebbe includere fondi trasferiti in custodia per essere custoditi al sicuro, anche se la società non ha quantificato tale quota.

La sequenza degli eventi è importante per capire la risposta. Web3Auth afferma di aver avviato un’operazione white hat insieme ai partner e di aver trasferito i fondi dai wallet vulnerabili prima che l’aggressore potesse raggiungerli, utilizzando lo stesso canale di accesso. Se osservati senza la spiegazione della società, i trasferimenti da quei wallet potrebbero quindi sembrare furti. La società afferma che gli indirizzi di destinazione identificati appartengono alla sua operazione di recupero, ma la fonte non fornisce un resoconto completo, transazione per transazione, dei trasferimenti.

L’8 novembre, Web3Auth ha pubblicato indirizzi verificati relativi a Injective, dYdX, Babylon, Axelar, Saga, Agoric e otto chain EVM. Diversi di questi indirizzi condividono una chiave con i wallet di raccolta che Bitquery aveva collegato al drenaggio. Questa sovrapposizione aiuta a spiegare perché alcune attività siano state interpretate come controllate dagli aggressori. Da sola, tuttavia, non stabilisce lo stato finale o la titolarità di tutti gli asset monitorati; Web3Auth afferma che gli indirizzi identificati vengono usati per il recupero.

I wallet di recupero complicano il quadro on-chain

Web3Auth afferma che i fondi recuperati nell’ambito dell’operazione sono al sicuro e che sta collaborando con Keplr per trovare un modo di restituirli. Non ha specificato quale parte del totale monitorato da Bitquery sia riuscita a mettere al sicuro, quindi utenti e osservatori non possono ancora conciliare la cifra di oltre 6 milioni di dollari con i fondi custoditi al sicuro. L’impegno dichiarato per il recupero è incoraggiante per gli utenti colpiti, ma l’importo, le tempistiche e le modalità esatte di distribuzione restano da chiarire sulla base delle informazioni disponibili.

L’episodio mostra anche perché può essere difficile interpretare le etichette dei trasferimenti dal wallet durante un incidente in corso. Un trasferimento da un indirizzo vulnerabile può rappresentare un’azione dell’aggressore oppure una misura protettiva del team di risposta; in questo caso, Web3Auth afferma che il suo team ha utilizzato lo stesso percorso di accesso dell’aggressore. Pubblicare gli indirizzi verificati offre un modo per identificare alcuni wallet di recupero, ma non sostituisce un rendiconto più completo né conferma la destinazione di ogni saldo interessato.

Web3Auth ha messo in guardia gli utenti dagli impostori che offrono assistenza falsa per il recupero dei fondi. L’avvertimento è utile in una situazione in cui gli utenti attendono una procedura ufficiale di restituzione e potrebbero essere contattati da persone che sostengono di poter recuperare i fondi. L’azienda afferma di essere in coordinamento con Keplr, ma la fonte non fornisce istruzioni specifiche per il recupero né una scadenza. Gli utenti dovrebbero distinguere la procedura di recupero annunciata dalle offerte non richieste, senza considerare un’affermazione informale come prova di accesso ai fondi.

Recupero dei fondi e questioni di sicurezza più ampie

La risposta di Keplr è rilevante anche per gli utenti che si affidano all’accesso tramite social invece che a una frase di recupero o a un hardware wallet. Il team del wallet afferma che questi ultimi tipi di account non sono a rischio per via dell’incidente, mentre gli accessi tramite Google e Apple sono stati disattivati dopo la conferma della vulnerabilità. Le informazioni non illustrano le misure correttive per i singoli account né spiegano se gli utenti interessati debbano compiere ulteriori passaggi. La distinzione in base alla configurazione del wallet è l’indicazione più chiara fornita nel resoconto dell’incidente.

L’incidente arriva dopo le difficoltà che hanno colpito l’ecosistema Cosmos all’inizio dell’anno: secondo quanto riportato, la chiusura di Leap Wallet ha spinto molti utenti di Cosmos a passare a Keplr. Questo precedente aiuta a capire perché un problema di sicurezza di Keplr possa avere ripercussioni sull’intera community, ma non dimostra che la chiusura di Leap abbia causato la vulnerabilità o le perdite. Anche altri progetti hanno cercato di rassicurare gli utenti: PancakeSwap ha dichiarato che i suoi fondi e smart contract erano al sicuro.

Il caso Keplr si aggiunge a una serie più ampia di incidenti di sicurezza citati nel rapporto, tra cui il furto di 7,61 miliardi di dollari nel 2026 da parte di hacker nordcoreani e il recente svuotamento di oltre 1.400 wallet Qubic da parte di un aggressore. Questi esempi delineano un quadro generale della sicurezza, ma non dimostrano un legame con la vulnerabilità di Web3Auth. Restano da chiarire soprattutto tre aspetti: quale fosse l’ammontare delle criptovalute monitorate e protette da Web3Auth, come verranno restituiti gli asset recuperati e quando sarà possibile riattivare in sicurezza le opzioni di accesso disabilitate.

Fonte: BeInCrypto