Keplr meldt dat backup niet garandeert dat gehackte sleutel veilig is

Wat er gebeurde

Op 7 november meldde Keplr ongeautoriseerde transacties bij accounts die waren aangemaakt met Google of Apple login. Keplr schakelde die loginmethoden tijdelijk uit.

Later op 7 november zei Web3Auth dat het een beveiligingsincident had gevonden in zijn infrastructuur. Web3Auth levert ingebedde logindiensten die Keplr gebruikt.

Web3Auth zette onderhoud vanaf 6 november 18:30 UTC in verband met het incident. Op 8 november 13:08 UTC stond op de statuspagina dat men een update zou geven zodra de service was hersteld.

Keplr publiceerde eerder documentatie die uitlegt dat Google-loginaccounts een hexadecimale private key krijgen die Web3Auth genereert. Deze sleutel zou versleuteld en lokaal op het apparaat staan en er is een optie beschreven om de private key te bekijken of te importeren.

Keplr zei later op 7 november dat sommige social-login accounts mogelijk een private-key breach hebben. Accounts met recovery phrase of hardware wallet zouden niet zijn getroffen. Keplr adviseerde geen nieuwe fondsen naar mogelijk getroffen accounts te sturen en aanwezige liquide middelen over te zetten naar een account met recovery phrase of hardware wallet.

Web3Auth en partners zijn begonnen met whitehat herstelactiviteiten om kwetsbare Keplr-wallets te beschermen. Keplr zei ook dat sommige verlaagde of lege saldi het gevolg kunnen zijn van die mitigatiewerkzaamheden en dat gestake of geblokkeerde activa het herstel lastiger maken.

MetaMask Builders liet weten dat een eerste onderzoek geen bewijs vond dat MetaMask-gebruikers werden geraakt.

Waarom dit telt

Voor beleggers in crypto is dit belangrijk omdat een opgeslagen private key wel toegang kan geven, maar niet garandeert dat die sleutel veilig is als de sleutel mogelijk is blootgesteld. Herstel van de loginservice lost die onzekerheid niet op.