نشت کلید خصوصی در Web3Auth و سرقت دارایی‌های کیف پول Keplr
Web3Auth Flaw Exploited to Steal Keplr Crypto, Provider Empties Other Wallets for Safety
یک آسیب‌پذیری امنیتی در زیرساخت شرکت Web3Auth منجر به دسترسی غیرمجاز به کلیدهای خصوصی برخی از کاربران کیف پول Keplr شده است. در پی این رخداد، Web3Auth برای جلوگیری از سرقت‌های بیشتر، اقدام به انتقال پیش‌دستانه دارایی‌های کاربران در معرض خطر به کیف پول‌های بازیابی کرده است.
جزئیات فنی و ابعاد حادثه
این حمله کاربرانی را هدف قرار داده که کیف پول Keplr خود را از طریق حساب‌های Google یا Apple ایجاد کرده بودند. نقص امنیتی در زیرساخت Web3Auth باعث نشت کلیدهای خصوصی این کاربران شده است. کلید خصوصی به عنوان کد محرمانه برای تایید تراکنش‌ها عمل می‌کند و دسترسی به آن به معنای کنترل کامل بر دارایی‌های کیف پول است.
شرکت Web3Auth در اقدامی تدافعی، از همان مسیر نفوذ برای انتقال دارایی‌های کاربران در معرض خطر به کیف پول‌های امن استفاده کرد. طبق گزارش Bitquery، بیش از ۶ میلیون دلار از ۴۴ هزار کیف پول به این آدرس‌های بازیابی منتقل شده است. با این حال، شرکت امنیتی GoPlus تخمین می‌زند که حداقل ۱ میلیون دلار توسط مهاجمان به سرقت رفته است.
وضعیت سایر پلتفرم‌ها و اقدامات انجام شده
این آسیب‌پذیری علاوه بر Keplr، سایر سرویس‌های مبتنی بر Web3Auth را نیز تحت تاثیر قرار داده است. شرکت Web3Auth سرویس کیف پول تعبیه شده خود را متوقف کرده و در حال بررسی وضعیت است. شرکت Consensys که اخیراً Web3Auth را خریداری کرده، اعلام کرده است که هیچ شواهدی مبنی بر تاثیر این رخداد بر کاربران MetaMask وجود ندارد.
کیف پول‌هایی که با عبارت بازیابی (۱۲ یا ۲۴ کلمه‌ای) یا کیف پول‌های سخت‌افزاری ایجاد شده‌اند، در این حمله آسیب ندیده‌اند. در حال حاضر قابلیت ورود با Google و Apple در Keplr به حالت تعلیق درآمده است.
نکته‌های کلیدی
- نشت کلید خصوصی به دلیل نقص در زیرساخت Web3Auth رخ داده است.
- کاربرانی که از طریق Google یا Apple وارد شده‌اند در معرض خطر هستند.
- بخش بزرگی از دارایی‌های منتقل شده، اقدام پیش‌دستانه برای نجات سرمایه بوده است.
- کیف پول‌های سخت‌افزاری و دارای عبارت بازیابی ایمن هستند.
چه باید کرد
- از وارد کردن مجدد یا بازسازی حساب‌های آسیب‌دیده در پلتفرم‌های دیگر خودداری کنید.
- دارایی‌های غیر استیک شده (Staked) را به کیف پول‌های دارای عبارت بازیابی یا سخت‌افزاری منتقل کنید.
- فقط به اطلاعیه‌های رسمی Keplr و Web3Auth اعتماد کرده و از کلیک بر روی لینک‌های مشکوک تحت عنوان بازیابی دارایی خودداری کنید.
- لیست آدرس‌های بازیابی منتشر شده توسط Web3Auth را برای تشخیص تراکنش‌های ایمن از تراکنش‌های مخرب بررسی کنید.