Web3Auth-ի խոցելիությամբ հարձակվողը միջոցներ է գողացել Keplr-ից

Web3Auth-ը հայտնել է, որ վտանգված Keplr դրամապանակների միջոցները տեղափոխել է վերականգնման դրամապանակներ այն բանից հետո, երբ հարձակվողն օգտագործել է իր ենթակառուցվածքի խոցելիությունը և գողացել որոշ օգտատերերի միջոցները։ Երկու ընկերություններն էլ հաստատել են խոցելիության շահագործումը, որն ազդել է Google-ով կամ Apple-ով մուտքի միջոցով ստեղծված դրամապանակների վրա։

Keplr-ն այդ մուտքի տարբերակները տրամադրելու համար օգտվում է Web3Auth-ից։ Keplr-ը հետաքննության ընթացքում կասեցրել է դրանք, իսկ Web3Auth-ի կարգավիճակի էջը 2026 թ․ նոյեմբերի 9-ին դեռ ցույց էր տալիս, որ մուտքի ծառայությունը չի աշխատում, գրել է The Hacker News-ը։

Web3Auth-ը հայտնել է, որ Keplr-ի օգնությամբ օգտագործել է հարձակվողի կիրառած ուղին՝ վտանգված մյուս միջոցներն անվտանգ տեղ տեղափոխելու համար։ Ուստի դատարկված դրամապանակը դեռ չի նշանակում, որ դրա միջոցները գողացվել են։

Ո՞ր դրամապանակներն են տուժել

Keplr-ը միջադեպը որակել է որպես Google-ով և Apple-ով մուտք գործող որոշ օգտատերերի գաղտնի բանալիների արտահոսք։ Գաղտնի բանալին դրամապանակից վճարումները հաստատող ծածկագիրն է․ այն ունեցողը կարող է տեղափոխել միջոցները։ Keplr-ը հայտնել է, որ վերականգնման արտահայտությամբ՝ բառերի պահուստային ցանկով, կամ ապարատային դրամապանակով ստեղծված դրամապանակները չեն տուժել։

Keplr-ի համահիմնադիր Ջոշ Լիի նախնական գնահատմամբ՝ տուժել է Google-ով և Apple-ով մուտք գործող հաշիվների մոտ 20%-ը։ Ըստ նախնական տվյալների՝ դրանց միայն մի մասն է ենթարկվել հարձակման։ Ընկերություններից ոչ մեկը չի հայտնել, թե ինչպես էր գործում խոցելիությունը, երբ է սկսվել դրա շահագործումը կամ արդյոք փակվել է հարձակման ուղին։

Գողացված և փրկելու նպատակով տեղափոխված գումարները տարբեր են

Անվտանգության ոլորտում աշխատող GoPlus ընկերությունը գնահատել է, որ գողացվել է առնվազն մոտ $1 միլիոն, սակայն չի բացատրել իր հաշվարկը։ Ո՛չ Web3Auth-ը, ո՛չ Keplr-ը չեն հայտնել գողացված գումարի դոլարային չափը։