Уязвимость в Web3Auth: через вход Google и Apple из кошельков Keplr выведено до 6 млн долларов
Злоумышленник использовал уязвимость в Web3Auth, компании, которая обеспечивает вход через Google и Apple в кошельки Keplr, и получил доступ к части кошельков. По оценке аналитиков Bitquery, из более чем 44 тысяч кошельков переведено не менее 6,01 млн долларов.
Главное в цифрах
- Сумма переводов по данным Bitquery: не менее 6,01 млн долларов
- Количество кошельков по данным Bitquery: более 44 тысяч
- Оценка ущерба от GoPlus: не менее 1 млн долларов
- Доля кошельков, опустошённых после предупреждения: 86%
- Резервные кошельки: 11 блокчейнов Cosmos и восемь Ethereum-подобных сетей
Keplr использует Web3Auth для входа через Google и Apple. Как сообщили обе компании, атакующий воспользовался уязвимостью в инфраструктуре Web3Auth, и это затронуло часть кошельков, созданных с помощью таких аккаунтов. Keplr заявляет о «утечке приватного ключа» у части пользователей. Приватный ключ подтверждает платежи с кошелька, поэтому тот, у кого он есть, может вывести деньги.
Web3Auth также сообщила, что тем же путём вывела средства из других уязвимых кошельков до того, как до них добрался атакующий. По её словам, деньги перевели в резервные кошельки в 11 блокчейнах семейства Cosmos и восьми Ethereum-подобных сетях. Поэтому пустой баланс не обязательно означает кражу: средства могли быть спасены.
Масштаб ущерба
Bitquery насчитала не менее 6,01 млн долларов, переведённых из более чем 44 тысяч кошельков в резервные кошельки к концу прошлой недели. Первый перевод произошёл за 21 минуту до первого публичного сообщения поставщика входа. Фирма сначала назвала переводы кражей, а затем выпустила исправленный анализ, где трактует их как спасение, но отмечает, что не может проверить, кто контролирует резервные кошельки. По данным фирмы, 86% кошельков опустели уже после предупреждения разработчика.
GoPlus, компания в сфере безопасности Web3, назвала ущерб не менее 1 млн долларов, но не объяснила, как получила эту цифру. Соучредитель Keplr Джош Ли в первичных выводах оценивал, что около 20% аккаунтов Google и Apple были затронуты, и только часть из них, по всей видимости, подверглась эксплуатации.
Что делают компании
Keplr приостановила вход через Google и Apple на время расследования. Кошельки с фразой восстановления и аппаратные кошельки, по словам компании, не затронуты. Web3Auth приостановила работу сервиса встраиваемых кошельков, которым пользуются и другие приложения, и заявила, что проблема касается и других компаний, но назвала только Keplr.
Web3Auth предупредила пользователей не считать неизвестный адрес назначения связанным с атакующим и опубликовала список адресов восстановления, чтобы отличать собственные переводы сервиса от возможно вредоносных. Компания говорит, что средства в безопасности и она работает с Keplr над их возвратом, но не сообщила как и когда. Способ уязвимости, момент её первого использования и факт закрытия пока не раскрыты.
Web3Auth принадлежит Consensys, компании, которая стоит за кошельком MetaMask и купила поставщика входа в июне 2025 года. Первичное расследование, по словам Web3Auth, не нашло свидетельств того, что пользователи MetaMask пострадали.
