کلید خصوصی بعضی حساب‌های Keplr لو رفت؛ Web3Auth ۵٫۶ میلیون دلار را نجات داد

شرکت Web3Auth—ارائه‌دهنده‌ی ورود با گوگل و اپل برای کیف‌پول Keplr—اعلام کرد پس از افشای کلید خصوصی برخی حساب‌های ورود اجتماعی، دارایی‌های آسیب‌پذیر را پیش از هکرها به آدرس‌های امن منتقل کرده است. به‌گفته‌ی دِ بلاک، ۱۲ آدرس بازیابی منتشرشده حدود ۵٫۶ میلیون دلار رمزارز نگه می‌دارند.

جاش لی، هم‌بنیان‌گذار Keplr، تأکید کرد این نفوذ روی کد خود کیف‌پول نبوده و از زیرساخت Web3Auth سرچشمه گرفته است. او تخمین زد حدود ۲۰ درصد حساب‌های ورود با گوگل/اپل در معرض بوده‌اند؛ حساب‌هایی که با عبارت بازیابی یا سخت‌افزار ساخته شده‌اند آسیب ندیده‌اند. Keplr بیش از دو میلیون کاربر دارد و از اکوسیستم کازموس فراتر رفته و شبکه‌های EVM را هم پوشش می‌دهد.

بازیابی سفید که با سرقت اشتباه گرفته شد

Web3Auth گفت برای خالی‌کردن کیف‌پول‌هایی که هنوز به دست مهاجم نرسیده بودند، «همان مسیر مهاجم اولیه» را به کار برد و هشدار داد بخشی از این تراکنش‌ها ممکن است با فعالیت هکر اشتباه گرفته شود. شرکت بیت‌کوئری پیش‌تر گزارش داده بود حدود ۶ میلیون دلار از بیش از ۴۴ هزار کیف‌پول Keplr جمع شده؛ هر هشت آدرسی که به «سارق» نسبت داده بود در فهرست بازیابی Web3Auth قرار گرفت. بخش عمده‌ی وجوه بازیابی‌شده روی کازموس هاب است؛ از جمله حدود ۲٫۴۹ میلیون ATOM (حدود ۳٫۳ میلیون دلار) که بخشی از آن استیک‌شده بود و برای جابه‌جایی فوری توکنایز شد.

Keplr به کاربران ورود اجتماعی توصیه کرد وجه تازه‌ای به آن حساب‌ها نفرستند و مانده‌ی نقدشونده را به کیف‌پول مبتنی بر عبارت بازیابی یا سخت‌افزار منتقل کنند؛ بعضی موجودی‌ها به‌خاطر همین اقدامات محافظتی ممکن است خالی یا کم دیده شوند. Web3Auth سرویس کیف‌پول تعبیه‌شده را متوقف کرد و گفت نشانه‌ای از آسیب به کاربران متامسک ندیده است. مسیر بازگرداندن دارایی به مالکان هنوز به‌صورت جزئی اعلام نشده است.

این مطلب توصیه امنیتی کامل نیست؛ فقط از کانال‌های رسمی Keplr و Web3Auth پیگیری کنید و لینک‌های بازیابی جعلی را نادیده بگیرید.