Keplr schaltet Google- und Apple-Anmeldung ab, nachdem eine Schwachstelle beim zu Consensys gehörenden Web3Auth Wallet-Schlüssel offenlegte und rund 6 Mio. US-Dollar aus Cosmos-Konten abflossen

Keplr, eine Wallet für Cosmos-basierte Netzwerke, hat die Anmeldeoption über Google und Apple abgeschaltet, nachdem Angreifer auf diese Weise erstellte Konten leergeräumt hatten. Das Unternehmen erklärt, sein eigener Wallet-Code sei nicht kompromittiert worden. Stattdessen verweist es auf Web3Auth, den externen Dienst, der einen privaten Schlüssel für Nutzer erzeugt, die sich mit einem Google- oder Apple-Konto anmelden, statt eine Seed-Phrase aufzuschreiben. Web3Auth, das dem MetaMask-Entwickler Consensys gehört, räumte ein Problem in seiner Infrastruktur ein, durch das private Schlüssel offengelegt wurden, und setzte seinen Dienst für eingebettete Wallets aus.

Bitquery zählte rund 6 Mio. US-Dollar, die an zwei Sammeladressen gesendet wurden, davon etwa 3,5 Mio. US-Dollar auf Cosmos Hub, berichtet crypto.news. Josh Lee, Mitgründer des Keplr-Entwicklers Chainapsis, schätzte, dass etwa 20 Prozent der Social-Login-Konten betroffen sein könnten, von denen nur einige tatsächlich leergeräumt wurden.

Die Aufräumarbeiten sind unübersichtlich. Web3Auth und seine Partner begannen, Guthaben aus offengelegten Wallets zu verschieben, die noch nicht angegriffen worden waren, und nutzten dabei denselben Weg wie der Angreifer, sodass manche Nutzer ihre Guthaben wegen der Rettungsaktion verringert oder leer vorfinden könnten, warnte Keplr am Samstag. Web3Auth erklärt, es habe keine Anzeichen dafür gefunden, dass MetaMask-Nutzer betroffen seien.

Keplr fordert Social-Login-Nutzer auf, keine weiteren Mittel einzuzahlen und das verbleibende Guthaben auf ein Konto mit Seed-Phrase oder Hardware-Wallet zu übertragen. Web3Auth plant, eine verifizierte Liste der Adressen zu veröffentlichen, auf denen die geretteten Mittel liegen.