Keplr-Abfluss: Bitquerys Täteradressen sind Web3Auths Rettungsadressen

Die 6,01 Millionen US-Dollar, die der Datendienst Bitquery als Beute eines Angreifers aus mehr als 44.000 Keplr-Wallets gezählt hat, liegen auf genau den Adressen, die Web3Auth als seine eigenen Rettungskonten ausgibt. Das zeigt ein Abgleich beider Listen: Alle acht Sammeladressen stimmen Zeichen für Zeichen überein. Ob dort gerettetes oder gestohlenes Geld liegt, hängt damit an der Darstellung von Web3Auth, und was der eigentliche Angreifer erbeutet hat, hat bisher niemand beziffert.

Betroffen sind Keplr-Wallets, die über eine Anmeldung mit Google oder Apple angelegt wurden; diesen Social Login betreibt Web3Auth, eine Tochter des Softwarehauses Consensys. Wie die Rettungsaktion ablief und welche Adressen Web3Auth am Sonntagmorgen veröffentlicht hat, steht in unserem Bericht vom Vormittag.

Bitquery zählt 44.041 geplünderte Wallets

Am Samstag um 17 Uhr mitteleuropäischer Zeit veröffentlichte Bitquery eine Auswertung der Überweisungen auf acht Cosmos-Netzen. Danach flossen aus mindestens 44.041 Wallets auf sieben Netzen und aus 7.603 Wallets auf Injective Guthaben an zwei Sammeladressen, die zusammen 6,01 Millionen US-Dollar halten, davon 3,5 Millionen auf dem Cosmos Hub. Rund 1,96 Millionen gestakte ATOM verließen die Wallets ohne die übliche Wartezeit von 21 Tagen, weil sie in handelbare Anteilsscheine umgewandelt wurden. 86 Prozent der Wallets wurden laut Bitquery erst nach der Warnung von Keplr am Samstag um 5:38 Uhr geleert.

Bitquery hatte die Möglichkeit einer Rettung selbst bedacht: “Neither Keplr nor Web3Auth has said it moved user funds to a safe address for them, and if one of them had, these collectors would be those addresses. We think that unlikely.” Sinngemäß: Keine der beiden Firmen habe gesagt, Nutzergelder in Sicherheit gebracht zu haben; wäre es so, seien die Sammeladressen genau diese Adressen, was man für unwahrscheinlich halte.

Web3Auth meldet die Rettung eine Stunde später

Um 18:06 Uhr schrieb Web3Auth erstmals von einer Rettungsaktion für angreifbare, aber noch nicht geplünderte Wallets. Am Sonntag um 7:23 Uhr folgte die Liste der Adressen, weil einige Überweisungen “mistaken for attacker activity” worden seien, also für Angriffe gehalten.

Die Cosmos-Hub-Adresse auf dieser Liste ist dieselbe, die Bitquery als größte Sammeladresse des Angreifers führt, ebenso die Adressen auf Osmosis, Celestia, Akash, Noble, dYdX, Babylon und Injective. Für Axelar, Saga, Agoric und acht EVM-Netze nennt Web3Auth weitere Adressen, die in Bitquerys Bericht nicht vorkommen. In eigenen Posts hat Web3Auth die Zahl von Bitquery nicht kommentiert; nach Angaben von Crypto Briefing hält das Unternehmen die Schätzung für falsch, weil die Gelder auf Rettungsadressen gingen.

Bitquerys Bericht stand am Sonntagabend unverändert online.

Bitquery findet keine zweite Spur des Angreifers

Folgt man Web3Auth, hat Bitquery die Rettung gemessen und nicht den Diebstahl. Dann bleibt offen, wann die Rettung begann: Die erste Überweisung an die Cosmos-Hub-Adresse datiert Bitquery auf Freitag, 21:52 Uhr, also vor der ersten Warnung von Keplr. Eine zweite Sammeladresse eines Angreifers hat Bitquery auf den geprüften Netzen nicht gefunden.

Für Betroffene ändert sich zunächst wenig. Wie die gesicherten Guthaben zurückkommen, haben Keplr und Web3Auth nicht gesagt, eine Prüfmöglichkeit für das eigene Konto gibt es weiter nicht. Nach der Auswertung von Bitquery zeigen bei den geleerten Wallets mit Staking auch die Belohnungen auf die Sammeladresse, und umstellen lässt sich das nur mit dem kompromittierten Schlüssel. Keplr rät weiter, auf solche Konten kein neues Geld zu schicken.

Das typische geleerte Wallet verlor nach Bitquerys Zählung 1,34 US-Dollar, das größte 325.000.