Keplr кастодиандық емес криптоәмиян командасы Google немесе Apple арқылы авторизация арқылы жасалған жекелеген аккаунттарда рұқсатсыз транзакциялар туралы хабарламалар сериясын тіркеді. Оқиға дәл кілттерді генерациялау әлеуметтік кіруге негізделген, классикалық сид-фразаға немесе аппараттық құрылғыға емес мекенжайларға қатысты.
Әзірлеушілер ішкі тергеуді бастады және оны үшінші тарап қызметтері арқылы кіру механизмін қамтамасыз ететін Web3Auth провайдерінің командасымен бірлесіп жүргізуде. Алдын ала бағалау бойынша, сид-фраза арқылы жасалған немесе аппараттық қоймаға қосылған әмияндар тәуекел аймағына кірмейді: олардың кілттері жергілікті жерде, әлеуметтік авторизация инфрақұрылымынан тыс қалыптасады және сақталады.
Қандай шаралар қабылданды
Қорғаныс шарасы ретінде Keplr Google және Apple арқылы авторизацияны уақытша тоқтатты. Мұндай аккаунттардың пайдаланушыларына балансты толықтырудан бас тартуға, сондай-ақ ресми түсініктемелер пайда болғанға дейін бұл әмияндарды импорттамауға және қайта жасамауға кеңес берілді. Команда тексеру аяқталғаннан кейін расталған ақпарат пен одан әрі нұсқаулықтарды жариялауға уәде берді.
Жағдай әлеуметтік кіру архитектурасына салынған іргелі ымыраны атап көрсетеді: үздіксіз авторизацияның қолайлылығы кілттерді генерациялау тізбегіндегі қосымша делдалдар есебінен қол жеткізіледі. Мұндай провайдер тарапындағы кез келген ақау немесе осалдық пайдаланушы қаражаты үшін шабуыл бетін ықтимал кеңейтеді.
Тергеу аяқталғанға дейін әлеуметтік авторизациясы бар Keplr әмияндарының иелеріне сергектік танытып, команданың ресми арналарын қадағалау орынды. Аккаунттардың қалған санаттары үшін — сид-фраза және аппараттық әмияндар негізінде — қауіп қазіргі уақытта расталмаған.
Cryptalist талдауы: Keplr-дегі оқиға қауіпсіздігі үшінші тарап авторизация провайдерлеріне тәуелді болатын аккаунт абстракциясы модельдерінің тұрақтылығы мәселесін қайтадан өзекті етеді. Кастодиандық емес әмияндар нарығы мұндай интеграциялардың аудитін күшейтуге мәжбүр болады, ал пайдаланушылар әлеуметтік кіру қолайлылығы мен жеке кілттерді өзін-өзі бақылау арасындағы тепе-теңдікті қайта қарауы керек. Web3Auth сегменті мен ұқсас шешімдер үшін бұл инфрақұрылым деңгейінде неғұрлым ашық қауіпсіздік кепілдіктерінің қажеттілігі туралы сигнал.