资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
Keplr 暂停 Google 与 Apple 连接功能，Web3Auth 基础设施漏洞引发安全危机
周六，Keplr 在发现通过 Google 和 Apple 服务创建的钱包存在可疑交易后，暂停了这两项连接服务。此次漏洞源于负责生成和管理私钥的服务提供商 Web3Auth，导致约 44,700 个密钥暴露。
事件概要
- 11月6日：Web3Auth 发现其基础设施存在漏洞，并暂停了其集成的钱包服务。
- 11月7日：Keplr 禁用了 Google 和 Apple 连接功能。使用助记词恢复或硬件钱包的用户不受影响。
- 链上动态：涉及金额约 600 万美元。然而，12 个恢复地址集中持有大部分已识别资金。
Keplr 切断 Google 和 Apple 登录入口
11月7日，Keplr 在检测到通过 Google 或 Apple 创建账户出现未经授权的交易后，向用户发出警报。平台立即暂停了这两种登录方式，并建议用户不要转移资金、不要重新导入账户，同时警惕所谓的“资金恢复”消息。
这一警报是在 Web3Auth 做出决定数小时后发布的。11月6日 UTC 时间 21:13，该提供商因安全事件暂停了其集成钱包服务。这家由 Consensys 拥有的公司明确表示，MetaMask 用户未受影响。
Keplr 背后公司 Chainapsis 的联合创始人 Josh Lee 排除了内部漏洞的可能性。据他所述，问题直接来自 Web3Auth，影响了约 20% 通过社交网络连接的账户。
这一区分至关重要：使用助记词或硬件钱包创建钱包的用户不受波及。然而，那些通过 Google 或 Apple 连接的用户依赖外部机制来重建私钥。换句话说，他们的安全性也取决于提供商的安全性。便利性有时是需要付出代价的。
六百万美元发生流动，但并非全部丢失
根据 Bitquery 的链上分析，11月6日至7日期间，约有 601 万美元发生流转。这些流动涉及多个网络，包括 Cosmos Hub、Osmosis、Celestia、Akash、Noble、dYdX、Babylon 和 Injective。
Cosmos Hub 以近 350 万美元的转账额领先，Osmosis 紧随其后，转账额为 104 万美元，Injective 以 61.5 万美元位列第三。
然而，这 600 万美元并不一定对应被盗资金。周日，Web3Auth 发布了包含为 Keplr 用户保障资产的 12 个恢复地址。其余额约为 560 万美元，占 Bitquery 记录的流量的 93.2%。
差额显示估计净损失为 41 万美元。需注意的是，由于两项分析的覆盖范围或时期不完全一致，且 Web3Auth 也对总金额提出异议，因此该计算仅为近似值。
Bitquery 还统计出约 44,700 个不同的私钥。每个钱包的中位数损失仅为 1.34 美元，尽管最大一笔转账接近 32.5 万美元。更令人担忧的是，在七个网络上受影响的钱包中，有 86% 在 Keplr 发出警报后仍记录了资金流动。
此外，得益于流动性staking（Liquid Staking），近 196 万个 ATOM 在质押状态下的持仓也发生了变动，未等待通常的 21 天解锁期。
救援行动引发质疑
资金的回收并未使局势简化。Web3Auth 解释称，它组织了救援行动，借用了攻击者使用的相同机制。结果：在几个小时内，一些用户看到资产离开他们的钱包，却不知这是盗窃还是救援操作。当加密资产不请自来地离开时，保持冷静绝非易事。
这种方法主要揭示了一个结构性弱点。即使在安全危机期间，Web3Auth 仍保留代表用户签署交易的能力。因此，恢复过程在很大程度上取决于技术团队的速度和协调能力。
目前，Web3Auth 和 Keplr 均未公布恢复社交登录或赔偿受害者的确切时间表。
此事重申了加密生态系统的一条基本规则：控制资产意味着控制私钥。因为当提供商遇到问题时，非托管钱包的承诺可能会迅速失去实质意义。正如其他与私钥保管和资金控制相关的案例所示，易用性并不总是能保证独立性。
