Quem criou uma carteira de criptomoedas da Keplr usando conta do Google ou da Apple teve dinheiro roubado por um invasor. A Keplr usa a Web3Auth para operar esse login social, e o atacante explorou uma falha na infraestrutura da Web3Auth para alcançar as carteiras. As duas empresas confirmaram o caso na semana passada, e a Keplr descreveu o problema como quebra de chave privada.
A chave privada é o código secreto que aprova os pagamentos de uma carteira, de modo que quem a obtém move o dinheiro sem precisar de mais nada. Carteira criada a partir de frase de recuperação, a lista de 12 ou 24 palavras, e carteira de hardware não foram afetadas, segundo a Keplr.
A Web3Auth usou o mesmo caminho do atacante para esvaziar carteiras que ainda estavam em risco antes que ele chegasse a elas. O dinheiro foi movido, com apoio da Keplr, para endereços de recuperação em 11 redes da família Cosmos e em 8 redes compatíveis com Ethereum. Saldo zerado, portanto, pode significar resgate e não roubo.
Nenhuma das duas empresas divulgou valor roubado. Josh Lee, cofundador da Keplr, estimou em sua avaliação inicial que cerca de 20% das contas criadas com login do Google e da Apple foram afetadas, e que apenas uma fração aparentava ter sido explorada. Um levantamento de dados de blockchain contou ao menos 6,01 milhões de dólares saindo de mais de 44 mil carteiras para os endereços de recuperação até o fim da semana passada.
O primeiro desses envios saiu 21 minutos antes do primeiro aviso público da Web3Auth, e 86% das carteiras foram esvaziadas depois que a Keplr alertou os usuários. Esse mesmo levantamento havia classificado as transferências como roubo e corrigiu a análise em seguida, sem verificação de quem controla os endereços de recuperação.
A Keplr suspendeu o login do Google e da Apple enquanto investiga. A empresa orientou quem usou esse caminho a não enviar novos fundos para a conta, a não reimportar a carteira em outro lugar e a transferir para uma conta com frase de recuperação ou hardware todo valor que não esteja em staking ou bloqueado. Também pediu que os usuários confiem apenas nos canais oficiais e ignorem mensagens diretas que ofereçam ajuda para recuperar o dinheiro.
Nenhuma das duas empresas explicou como a falha funcionava, quando o atacante a usou pela primeira vez ou se o caminho foi fechado. A Web3Auth suspendeu o serviço de carteira embutida que outras aplicações usam para criar carteiras de seus próprios usuários e afirmou que o problema atinge serviços usados por outras empresas, sem nomear nenhuma além da Keplr. Em 9 de novembro a página de status da companhia marcava o serviço de login como indisponível.
