Keplr отключила вход через Google и Apple после того, как уязвимость в принадлежащем Consensys сервисе Web3Auth раскрыла ключи кошельков и около $6 млн ушли с аккаунтов в Cosmos

Keplr, кошелёк для сетей на базе Cosmos, отключила вход через Google и Apple после того, как злоумышленники опустошили созданные таким способом аккаунты. Компания заявляет, что код самого кошелька не был скомпрометирован, и указывает на Web3Auth — внешний сервис, который создаёт приватный ключ для пользователей, входящих через аккаунт Google или Apple вместо того, чтобы записывать сид-фразу. Web3Auth, принадлежащий разработчику MetaMask компании Consensys, признал проблему в своей инфраструктуре, которая раскрыла приватные ключи, и приостановил свой сервис встроенных кошельков.

Bitquery насчитала около $6 млн, отправленных на два адреса-сборщика, из них около $3,5 млн пришлось на Cosmos Hub, сообщает crypto.news. Джош Ли (Josh Lee), сооснователь разработчика Keplr компании Chainapsis, оценил, что могут быть затронуты около 20% аккаунтов с входом через соцсети, причём опустошены лишь некоторые из них.

Устранение последствий идёт сумбурно. Web3Auth и её партнёры начали выводить средства из уязвимых кошельков, которые ещё не были атакованы, тем же путём, что и злоумышленник, поэтому некоторые пользователи могут обнаружить, что их балансы уменьшились или обнулились из-за спасательной операции, предупредила Keplr в субботу. Web3Auth заявляет, что не нашла признаков того, что пострадали пользователи MetaMask.

Keplr призывает пользователей с входом через соцсети не вносить новые средства и перевести оставшееся на аккаунт с сид-фразой или аппаратным кошельком. Web3Auth планирует опубликовать проверенный список адресов, на которых хранятся спасённые средства.