CryptoSlate
Keplr, 7 Kasım'da Google veya Apple girişiyle oluşturulan bazı hesaplarda yetkisiz işlemler bildirdi ve aynı gün bu giriş yöntemlerini durdurdu. Gömülü cüzdanların arkasındaki giriş sağlayıcısı Web3Auth, altyapısında bir güvenlik sorununu doğruladı ve bakım penceresini 6 Kasım 18:30 UTC olarak tarihlendirdi. Kurtarma ifadeleri veya donanım cüzdanlarıyla oluşturulan hesaplar etkilenmedi, buna karşın Google veya Apple girişli hesaplar etkilenebilirdi.
Neden önemli
Olay, sosyal giriş cüzdanlarına gömülü olan bağımlılığı gözler önüne seriyor: giriş sağlayıcısı çalışmayı kestiğinde kullanıcılar erişim kaybediyor, sağlayıcı saldırıya uğradığında ise kullanıcılar anahtarın kendisinin kontrolünü kaybedebilir. Keplr'ın dokümantasyonuna göre Google girişli hesaplar, kurtarma ifadesi yerine Web3Auth üzerinden oluşturulan onaltılık bir özel anahtar alıyor ve bu anahtar cihazda şifreli olarak saklanıyor. Kaydedilmiş bir anahtar, Google girişinden bağımsız, belgelenmiş bir içe aktarma yolu sunuyor; ancak aynı anahtarı başka bir uygulamaya aktarmak erişim yazılımını değiştirirken sırrı değiştirmiyor. Bu, kimsenin anahtarın bir kopyasına sahip olmadığını kanıtlamıyor.
Piyasa etkisi
Keplr, potansiyel olarak etkilenen kullanıcılara yeni fon göndermemelerini önerdi ve kalan likit varlıklarını bir kurtarma ifadesi veya donanım cüzdanı hesabına taşımalarını istedi. Web3Auth ve ortakları, savunmasız cüzdanlarda saldırganın kullandığı orijinal yolu izleyerek whitehat kurtarma işlemine başladı; bu nedenle bazı azalmış veya boş bakiyeler hırsızlık yerine hafifletme çalışmasını yansıtıyor olabilir. 8 Kasım 13:08 UTC itibarıyla Web3Auth'un durum sayfası, hizmet geri yüklendiğinde güncelleme yayınlanacağını hâlâ vaat ediyordu. MetaMask, yaptığı ilk incelemede kullanıcılarının etkilendiğine dair bir kanıt bulmadığını söyledi. Giriş hizmetinin yeniden çalışması erişilebilirlik sorununu çözer, ancak hesap düzeyindeki etkiyi veya varlıkların geri kazanımını çözmez.
Sıkça sorulan sorular
-
Tüm Keplr cüzdanları Web3Auth olayından etkilendi mi?
Hayır. Keplr, kurtarma ifadeleri veya donanım cüzdanlarıyla oluşturulan hesapların etkilenmediğini, buna karşın Google veya Apple girişiyle oluşturulan hesapların etkilenebileceğini söyledi.
-
Sosyal giriş hesabı ele geçirilmiş olabilecek Keplr kullanıcıları ne yapmalı?
Keplr, etkilenen hesaplara yeni fon gönderilmemesini önerdi ve kalan likit varlıkların bir kurtarma ifadeli veya donanım cüzdanlı hesaba taşınması gerektiğini belirtti.
-
Özel anahtarımı başka bir cüzdan uygulamasına aktarmak onu yeniden güvenli yapar mı?
Hayır. İçe aktarma, hesaba erişim için kullanılan yazılımı değiştirir ancak sırrın kendisini değiştirmez ve kimsenin bir kopyaya sahip olmadığını kanıtlamaz.
-
Odan sonra bazı Keplr bakiyeleri neden azalmış veya boş görünüyor?
Web3Auth ve ortakları, savunmasız cüzdanlarda saldırganın yolunu izleyerek whitehat kurtarma işlemine başladı; bu nedenle azalmış veya boş bakiyeler hırsızlık yerine hafifletme çalışmalarını yansıtıyor olabilir. Stake edilmiş ve kilitli varlıklar işi karmaşıklaştırıyor.
-
Web3Auth giriş hizmeti geri çevrimiçi oldu mu?
8 Kasım 13:08 UTC itibarıyla Web3Auth'un durum sayfası, hizmet geri yüklendiğinde güncelleme yayınlanacağını hâlâ vaat ediyordu ve 7 Kasım'da sona eren görüntülenen bakım penceresi geri yüklenmeyi doğrulamıyordu.
TheBlock
WuBlockchain
Crypto Capital Venture
WatcherGuru
CoinDesk
CoinTelegraph
Crypto News