Keplr กู้บัญชีด้วยคีย์เดิมไม่แก้ความเสี่ยง หากคีย์รั่ว

การนำคีย์ส่วนตัวเดิมจากกระเป๋า Keplr ไปกู้บัญชีในแอปอื่นไม่ได้ทำให้คีย์เปลี่ยน หากคีย์รั่ว การเปลี่ยนแอปแล้วเข้าสู่ระบบใหม่ก็ยังเปิดทางให้เข้าถึงบัญชีเดิมได้

คำแนะนำด้านความปลอดภัยของ Keplr ระบุว่า บัญชีที่สร้างด้วยการเข้าสู่ระบบ Google ใช้คีย์ส่วนตัวรูปแบบเลขฐาน 16 ที่สร้างโดย Web3Auth แทนวลีสำหรับกู้คืน คีย์นี้เข้ารหัสด้วยรหัสผ่านและจัดเก็บไว้ในอุปกรณ์ของผู้ใช้

คู่มือการนำเข้ากระเป๋าของ Keplr อธิบายวิธีเรียกบัญชีเดิมกลับมาโดยป้อนวลีสำหรับกู้คืนหรือคีย์ส่วนตัว เมื่อนำคีย์เดิมไปป้อนในแอปอื่น ก็จะเข้าถึงบัญชีเดียวกันได้ แม้ตั้งรหัสผ่านใหม่ในแอป คีย์ส่วนตัวก็ไม่ได้ถูกเปลี่ยน

การตรวจดูคีย์ส่วนตัวมีเงื่อนไข ตามคำแนะนำของ Keplr ผู้ใช้ต้องเปิดส่วนขยายกระเป๋า เลือกบัญชี และป้อนรหัสผ่าน ทั้งนี้ บัญชีเก่าบางบัญชีอาจใช้ฟังก์ชันตรวจดูคีย์ไม่ได้

Web3Auth เปลี่ยนบริการเข้าสู่ระบบเป็นสถานะบำรุงรักษาหลังเกิดเหตุด้านความปลอดภัย โดยกำหนดช่วงบำรุงรักษาตั้งแต่วันที่ 7 พฤศจิกายน เวลา 03:30 น. ถึงวันที่ 8 พฤศจิกายน เวลา 03:30 น. ตามเวลาเกาหลี (KST)

ก่อนหน้านี้ Keplr แจ้งว่าคีย์ส่วนตัวของบัญชีที่ใช้การเข้าสู่ระบบผ่านโซเชียลบางส่วนรั่วไหล และแนะนำให้ย้ายสินทรัพย์ที่เหลือ CryptoSlate รายงานว่า Keplr ได้รับแจ้งธุรกรรมที่ไม่ได้รับอนุญาตจากบัญชีบางส่วนที่เข้าสู่ระบบผ่าน Google และ Apple และแจ้งว่าคีย์ส่วนตัวบางรายการถูกบุกรุก

CryptoSlate ระบุว่า คำแนะนำเบื้องต้นของ Keplr คืออย่าส่งเงินใหม่ไปยังบัญชีที่ได้รับผลกระทบ และอย่านำบัญชีเดิมไปกู้คืนในที่อื่น ส่วนคำแนะนำภายหลังให้ย้ายสินทรัพย์ที่ยังมีสภาพคล่องไปยังบัญชีที่สร้างด้วยวลีสำหรับกู้คืนหรือกระเป๋าฮาร์ดแวร์

การนำคีย์เดิมไปใช้ในแอปอื่นช่วยให้กลับเข้าถึงบัญชีได้ แต่ไม่ได้สร้างคีย์ใหม่ การย้ายสินทรัพย์ไปยังบัญชีที่ใช้วลีสำหรับกู้คืนหรือกระเป๋าฮาร์ดแวร์จึงเป็นการย้ายสินทรัพย์ออกจากบัญชีที่คีย์เดิมควบคุม

CryptoSlate รายงานว่า มาตรการปกป้องสินทรัพย์ของ Keplr อาจทำให้ยอดคงเหลือในบางบัญชีลดลงหรือแสดงเป็นศูนย์ อย่างไรก็ตาม การเปลี่ยนแปลงของยอดที่แสดงเพียงอย่างเดียวไม่เพียงพอจะยืนยันได้ว่าสินทรัพย์ถูกขโมยหรือกู้คืนแล้ว

MetaMask Builder Hub ระบุว่า หลังบริการกระเป๋าแบบฝังของ Web3Auth หยุดให้บริการ การตรวจสอบเบื้องต้นยังไม่พบหลักฐานว่าผู้ใช้ MetaMask ได้รับผลกระทบ ความเห็นเรื่องปัญหาเข้าสู่ระบบที่โพสต์บนกระดานสนทนาเป็นเพียงปฏิกิริยาของผู้ใช้ต่อปัญหาการเข้าถึง และไม่ได้หมายความว่าคีย์ส่วนตัวรั่วไหล