Falha na Web3Auth compromete carteiras Keplr criadas através do Google ou Apple

Lead

A carteira Keplr suspendeu a 7 de novembro as ligações através do Google e do Apple depois de detetar transações não autorizadas em contas criadas com esses serviços. A origem do problema está no Web3Auth, provedor responsável por gerar e gerir as chaves privadas, que a 6 de novembro às 21h13 UTC suspendeu o seu serviço de carteiras integradas devido a um incidente de segurança. Segundo o Bitquery, cerca de 44.700 chaves privadas distintas foram expostas.

Desenvolvimento

Keplr, plataforma desenvolvida pela Chainapsis, recomendou aos utilizadores que não transfiram fundos, que não reimportem as contas e que desconfiem de supostas mensagens de recuperação. Josh Lee, cofundador da Chainapsis, afastou a hipótese de uma falha interna e indicou que o problema vem do Web3Auth, que afetaria cerca de 20% das contas ligadas através de redes sociais. O Web3Auth pertence à ConsenSys e esclareceu que nenhum utilizador do MetaMask foi afetado.

As carteiras criadas com frase de recuperação ou com carteira de hardware não foram afetadas. Quem inicia sessão com o Google ou o Apple, porém, depende de um mecanismo externo para reconstruir a chave privada.

De acordo com a análise on-chain da Bitquery, cerca de 6,01 milhões de dólares circularam entre 6 e 7 de novembro em várias redes, com o Cosmos Hub a liderar com cerca de 3,50 milhões de dólares. O Web3Auth comunicou depois doze endereços de recuperação com ativos protegidos para utilizadores Keplr, num saldo de cerca de 5,6 milhões de dólares. A perda líquida estimada é de aproximadamente 410 mil dólares, cálculo considerado aproximado por abranger períodos e âmbitos diferentes.

O Web3Auth organizou operações de socorro utilizando o mesmo mecanismo usado pelo atacante, o que fez com que alguns utilizadores vissem sair ativos das carteiras sem saber se se tratava de roubo ou de recuperação. O Web3Auth mantém a capacidade de assinar transações em nome dos seus utilizadores. Tanto o Web3Auth como a Keplr indicam, até ao momento, que não divulgaram qualquer prazo para repor as ligações sociais.

Porque importa

O incidente ilustra que a facilidade de acesso a carteiras através de contas de Google ou Apple pode comprometer a promessa de não custódia quando a segurança depende de um provedor externo. Movimentações continuaram a verificar-se em 86% das carteiras afetadas em sete redes depois do alerta da Keplr, e não há, de momento, calendário de reposição das ligações nem indemnização às vítimas.