Web3Auth räumt gefährdete Keplr-Wallets zur Rettung leer

Leere Keplr-Wallets müssen nicht das Werk von Angreifern sein: Web3Auth zieht nach eigenen Angaben die Guthaben gefährdeter Konten auf eigene Sicherungsadressen ab, über dieselbe Lücke, die vorher der Angreifer genutzt hat. Keplr spricht inzwischen von einer Schwachstelle in der Infrastruktur von Web3Auth, die zum Abfluss privater Schlüssel führte. Wie viele Konten betroffen sind und wann die Besitzer ihr Geld zurückbekommen, sagen beide nicht.

Betroffen sind nur Wallets, die mit einer Anmeldung über Google oder Apple angelegt wurden. Diesen Social Login wickelt bei Keplr der Dienst Web3Auth ab, der zum Softwarehaus Consensys gehört. Wer seine Wallet mit einer eigenen Wiederherstellungsphrase oder einer Hardware-Wallet eingerichtet hat, ist nach Angaben von Keplr nicht betroffen. Den Login per Google und Apple hatte Keplr am frühen Samstagmorgen ausgesetzt, nachdem Nutzer unbefugte Abbuchungen gemeldet hatten.

Die Darstellung der beiden Unternehmen hat sich in drei Schritten verändert.

Am Freitag meldete Web3Auth zunächst nur ein Sicherheitsproblem bei Diensten, die einige Drittanbieter nutzen, und schaltete seinen Dienst für eingebettete Wallets ab. Für MetaMask-Nutzer gebe es keine Hinweise auf Schäden, schrieb das Unternehmen.

Am Samstag um 18:06 Uhr mitteleuropäischer Zeit folgte die Wende. Web3Auth habe gemeinsam mit Partnern eine Rettungsaktion begonnen, die auf “vulnerable but not yet impacted wallets utilizing the same path of the original attacker” zielt, also auf angreifbare, aber noch nicht geplünderte Wallets, die über denselben Weg wie beim ursprünglichen Angriff erreicht werden. Elf Minuten später schrieb Keplr erstmals von einem “private key breach” und warnte, manche Konten könnten wegen dieser Rettung schon ein geringeres oder leeres Guthaben zeigen. Gestakte und gesperrte Coins machten die Sache komplizierter und dauerten länger.

Am Sonntagmorgen veröffentlichte Web3Auth die Liste seiner Sicherungsadressen, weil einige der Rettungsüberweisungen für Angriffe gehalten worden seien. Sie umfasst je eine Adresse auf Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX, Babylon, Axelar, Saga und Agoric sowie eine Adresse für acht EVM-Netze. Die Liste werde ergänzt, sobald weitere Adressen bestätigt seien.

Social-Login-Nutzer sollen ihre Coins verschieben

Wer ein Keplr-Konto über Google oder Apple angelegt hat, soll laut Keplr kein neues Geld darauf schicken und verbliebene frei verfügbare Werte in eine Wallet mit eigener Wiederherstellungsphrase oder auf eine Hardware-Wallet verschieben. Eine Möglichkeit, selbst nachzusehen, ob das eigene Konto betroffen ist, gibt es noch nicht; Keplr arbeitet nach eigenen Angaben mit Web3Auth daran.

Offen bleibt, wie die gesicherten Guthaben zu ihren Besitzern zurückkommen und was mit den Coins geschieht, die der eigentliche Angreifer abgezogen hat. Eine Entschädigung hat Keplr nicht angekündigt. Beide Unternehmen warnen ausdrücklich vor falschen Helfern, die per Direktnachricht eine “Wiederherstellung” anbieten.

Wer jetzt eine leere Keplr-Wallet sieht, kann deshalb noch nicht wissen, ob sein Geld bei Web3Auth liegt oder beim Angreifer.