Keplr-Wallets mit Social-Login von Sicherheitslücke bei Web3Auth betroffen

Web3Auth-Schwachstelle betrifft einige Keplr-Wallets mit Social-Login

Einige Keplr-Nutzer, die ihre Wallets über die Anmeldung mit Google oder Apple erstellt hatten, waren von einer Sicherheitslücke in der von Web3Auth bereitgestellten Infrastruktur betroffen. Der Vorfall wird nicht als allgemeiner Angriff auf alle Keplr-Wallets beschrieben: Die angegebene Gefährdung betrifft einen bestimmten Weg zur Erstellung von Wallets. Keplr zufolge besteht für Konten, die mit einer Wiederherstellungsphrase oder einer Hardware-Wallet erstellt wurden, kein Risiko. Damit wird klar zwischen Konten mit Social-Login und anderen Wallet-Konfigurationen unterschieden.

Web3Auth bietet Anmeldetools, mit denen Anwendungen über soziale Konten Krypto-Wallets erstellen können. Am 6. November setzte das Unternehmen seinen Embedded-Wallet-Dienst aus und versetzte seinen Anmeldedienst in den Wartungsmodus. Zunächst meldete das Unternehmen keine Anzeichen dafür, dass MetaMask-Nutzer betroffen waren; diese waren im Oktober von einem separaten Sicherheitsvorfall betroffen gewesen. Einen Tag später führte Web3Auth die Schwachstelle auf die eigene Infrastruktur zurück und bestätigte, dass einige Keplr-Wallets betroffen waren.

Nach der Bestätigung deaktivierte Keplr die Anmeldungen über Google und Apple. Dadurch ist die Nutzung der betroffenen Anmeldeoptionen eingeschränkt. Aus den vorliegenden Angaben geht jedoch weder hervor, wann sie wieder aktiviert werden, noch ob alle betroffenen Konten gesichert wurden. Bitquery zählte rund 44.700 betroffene Keplr-Wallets auf acht Cosmos-basierten Chains. Das Ausmaß erstreckt sich über mehrere Netzwerke, doch aus der Zahl allein lässt sich weder ableiten, wie viel jeder Nutzer verloren hat, noch ob alle gezählten Wallets leergeräumt wurden.

Wie sich der Vorfall auf Keplr-Nutzer auswirkte

Bitquery brachte mehr als 6 Millionen US-Dollar mit dem Abfluss in Verbindung und meldete einen größten Einzelverlust von etwa 325.000 US-Dollar. Diese Zahlen beschreiben die On-Chain-Aktivitäten, die Bitquery bei der Nachverfolgung identifiziert hat; sie sollten nicht als bestätigter endgültiger Verlust der Nutzer verstanden werden. Web3Auth zufolge handelt es sich bei einigen Adressen, die als Wallets des Angreifers eingestuft wurden, tatsächlich um Recovery-Wallets des Unternehmens. Daher könnte die Gesamtsumme auch Gelder umfassen, die zur sicheren Verwahrung transferiert wurden. Wie hoch dieser Anteil ist, hat das Unternehmen jedoch nicht beziffert.

Der zeitliche Ablauf ist wichtig, um die Reaktion zu verstehen. Web3Auth zufolge startete das Unternehmen gemeinsam mit Partnern eine Whitehat-Aktion und transferierte Gelder aus gefährdeten Wallets, bevor der Angreifer sie erreichen konnte. Dabei nutzte es denselben Zugangsweg. Ohne die Erklärung des Unternehmens könnten Transfers aus diesen Wallets daher wie Diebstahl aussehen. Das Unternehmen gibt an, dass die von ihm identifizierten Zieladressen zu seiner Recovery-Aktion gehören. Die Quelle enthält jedoch keine vollständige, Transaktion für Transaktion aufgeschlüsselte Abrechnung der Transfers.

Am 8. November veröffentlichte Web3Auth verifizierte Adressen für Injective, dYdX, Babylon, Axelar, Saga, Agoric und acht EVM-Chains. Mehrere dieser Adressen haben denselben Schlüssel wie Collector-Wallets, die Bitquery mit dem Abfluss in Verbindung gebracht hatte. Diese Überschneidung hilft zu erklären, warum manche Aktivitäten als vom Angreifer kontrolliert eingestuft wurden. Sie belegt für sich genommen jedoch weder den endgültigen Status noch die Eigentumsverhältnisse aller nachverfolgten Vermögenswerte. Web3Auth zufolge werden die identifizierten Adressen für die Wiederherstellung verwendet.

Wiederherstellungs-Wallets erschweren den Überblick über die On-Chain-Aktivitäten

Web3Auth erklärt, dass die im Rahmen der Aktion wiedererlangten Gelder sicher sind und das Unternehmen gemeinsam mit Keplr an einer Möglichkeit arbeitet, sie zurückzugeben. Es hat nicht mitgeteilt, welchen Anteil der von Bitquery erfassten Gesamtsumme es sichern konnte. Nutzer und Beobachter können die Summe von mehr als 6 Millionen US-Dollar daher noch nicht mit den zur sicheren Verwahrung gehaltenen Geldern abgleichen. Die angekündigten Wiederherstellungsbemühungen sind für die betroffenen Nutzer ermutigend, doch Betrag, Zeitplan und genauer Ablauf der Auszahlung sind nach den verfügbaren Informationen noch ungeklärt.

Der Vorfall zeigt auch, warum sich Kennzeichnungen von Wallet-Überweisungen während eines laufenden Sicherheitsvorfalls nur schwer interpretieren lassen. Eine Überweisung von einer verwundbaren Adresse kann eine Aktion des Angreifers oder eine Schutzmaßnahme des Reaktionsteams sein; in diesem Fall sagt Web3Auth, dass sein Team denselben Zugangsweg wie der Angreifer genutzt hat. Die Veröffentlichung verifizierter Adressen bietet eine Möglichkeit, einige Wiederherstellungs-Wallets zu identifizieren, ersetzt jedoch keine vollständige Aufstellung und bestätigt auch nicht das Ziel jedes betroffenen Guthabens.

Web3Auth warnte Nutzer vor Betrügern, die gefälschte Hilfe bei der Wiederherstellung anbieten. Diese Warnung ist in einer Situation sinnvoll, in der Nutzer auf einen offiziellen Rückerstattungsprozess warten und möglicherweise von Personen kontaktiert werden, die behaupten, Gelder wiederherstellen zu können. Das Unternehmen erklärt, dass es sich mit Keplr abstimmt, doch die Quelle nennt weder konkrete Anweisungen zur Wiederherstellung noch eine Frist. Nutzer sollten zwischen den angekündigten Wiederherstellungsbemühungen und unaufgeforderten Angeboten unterscheiden und eine informelle Behauptung nicht als Beweis für den Zugriff auf Gelder betrachten.

Wiederherstellung von Geldern und weitergehende Sicherheitsfragen

Die Reaktion von Keplr ist auch für Nutzer relevant, die sich über soziale Konten anmelden, statt eine Wiederherstellungsphrase oder eine Hardware-Wallet zu verwenden. Das Wallet-Team erklärt, dass diese letztgenannten Kontotypen durch den Vorfall nicht gefährdet sind, während die Anmeldungen über Google und Apple deaktiviert wurden, nachdem die Schwachstelle bestätigt worden war. Die Informationen enthalten keine Einzelheiten zu Maßnahmen für betroffene Konten und erklären auch nicht, ob betroffene Nutzer weitere Schritte unternehmen müssen. Die Unterscheidung nach der Einrichtung der Wallet ist die klarste Orientierung, die der Bericht zum Vorfall bietet.

Der Vorfall ereignet sich nach einer Störung im Cosmos-Ökosystem zu Beginn des Jahres: Die Abschaltung von Leap Wallet veranlasste laut dem vorliegenden Bericht viele Cosmos-Nutzer dazu, zu Keplr zu wechseln. Dieser Hintergrund erklärt, warum ein Sicherheitsproblem bei Keplr für die gesamte Community von Bedeutung sein könnte, belegt aber nicht, dass die Abschaltung von Leap den Fehler oder die Verluste verursacht hat. Auch andere Projekte bemühten sich, ihre Nutzer zu beruhigen; PancakeSwap erklärte, dass seine Mittel und Smart Contracts weiterhin sicher seien.

Der Fall Keplr reiht sich in eine umfassendere Serie von Sicherheitsvorfällen ein, die im Bericht erwähnt werden. Dazu zählen nordkoreanische Hacker, die 2026 7,61 Milliarden US-Dollar erbeuteten, sowie ein Angreifer, der kürzlich mehr als 1.400 Qubic-Wallets leerräumte. Diese Beispiele bilden einen breiteren Sicherheitskontext, stellen jedoch keine Verbindung zum Web3Auth-Fehler her. Die zentralen offenen Fragen sind, wie viel der erfassten Kryptowährungen Web3Auth geschützt hat, wie wiedererlangte Vermögenswerte zurückgegeben werden und wann die deaktivierten Anmeldeoptionen wieder sicher verfügbar sein können.

Quelle: BeInCrypto