Breach di Keplr: 6,01 milioni di dollari trasferiti, ma non tutti rubati

Un breach del wallet Keplr ha portato al trasferimento di circa 6,01 milioni di dollari, ma non tutti i fondi sono stati rubati, come hanno confermato Web3Auth e Keplr l’8 novembre. L’incidente ha coinvolto un numero significativo di account, ma solo una frazione è stata sfruttata, mentre molti trasferimenti erano operazioni di recupero. Gli utenti protetti da recovery phrase o hardware wallet non sono stati toccati, secondo quanto dichiarato da Keplr.

Meccanismi di recupero e staking sul Cosmos Hub

Web3Auth ha pubblicato una lista di indirizzi di recupero verificati, verso cui sono stati trasferiti gli asset esposti, tra cui un lotto di 2.265,59 ATOM in staking proveniente da sei account sul Cosmos Hub. I fondi sono stati spostati in wallet sicuri con l’aiuto di Keplr. Alcuni di questi trasferimenti erano stati scambiati per attività degli aggressori, perché i team di recupero hanno usato lo stesso percorso tecnico sfruttato durante l’incidente.

Il modulo di liquid staking dell’Hub permette di trasferire le deleghe senza attendere il periodo di unbonding di 21 giorni. La transazione del 7 novembre ha trasformato in token la quota di stake detenuta su sei account, ma non ha convertito lo stake in ATOM spendibili subito. Bitquery ha tracciato circa 6,01 milioni di dollari in trasferimenti legati all’incidente del 6 e 7 novembre, ma non tutti i fondi sono stati rubati.

La vulnerabilità è emersa da Web3Auth, non nel codice di Keplr. Il co-fondatore di Keplr, Josh Lee, ha spiegato che l’incidente non ha origine nel codice del wallet. Ha stimato che circa il 20% degli account con login Google e Apple fosse potenzialmente esposto, mentre solo una frazione sarebbe stata sfruttata. Web3Auth ha sospeso temporaneamente il servizio di wallet integrato, mentre Keplr ha sospeso l’accesso con Google e Apple dopo le segnalazioni di transazioni non autorizzate.

Le misure di sicurezza e i rischi per gli utenti

Web3Auth non ha rilevato prove di un impatto sugli utenti MetaMask, mentre Felix, rappresentante di Trust Wallet, ha dichiarato che Trust Wallet non è coinvolto. Gli utenti che usano Google o Apple per accedere a Keplr devono spostare gli asset liquidi su account protetti. Keplr invita a ignorare messaggi diretti e link non richiesti che offrono servizi di recupero, e a fare riferimento solo agli aggiornamenti ufficiali di Keplr e Web3Auth. Le misure di recupero possono far comparire saldi ridotti o vuoti nei wallet social-login coinvolti. Gli asset in staking o bloccati richiedono più tempo per essere messi al sicuro. I team stanno lavorando a uno strumento che permetta ai clienti di verificare se il proprio account è stato interessato. Web3Auth ha annunciato che aggiungerà altri indirizzi di recupero all’elenco pubblicato man mano che proseguono le verifiche.