Web3Auth kaynaklı açık Keplr cüzdanlarını vurdu: Google ve Apple ile açılan hesaplardan fon çekildi, sosyal giriş durduruldu
Keplr, Google veya Apple girişiyle oluşturulan cüzdanlarda yaşanan kayıpları giriş sağlayıcısı Web3Auth'taki bir açığa bağlayıp "private key breach" olarak tanımladı. Bitquery en az 6,01 milyon dolarlık çıkışın 44 binden fazla cüzdandan yapıldığını hesapladı; teknik ayrıntı ve CVE henüz yok.
Cosmos ekosisteminin yaygın cüzdanı Keplr, Google veya Apple hesabıyla oluşturulan cüzdanlarda yetkisiz işlemler bildirilmesinin ardından bu sosyal giriş seçeneklerini durdurdu. Şirket olayı, sosyal girişin arkasındaki altyapı sağlayıcısı Web3Auth'taki bir açıktan kaynaklanan bir "private key breach" olarak tanımladı. The Hacker News'in 9 Kasım tarihli haberine göre Web3Auth'un durum sayfası giriş servisini hâlâ çalışmıyor olarak gösteriyordu.
Saldırının nasıl gerçekleştiği açıklanmadı; olay için bir CVE kimliği ya da teknik analiz yayımlanmış değil.
Kayıp ne kadar?
Rakamlar kaynağa göre değişiyor. Blokzincir analiz şirketi Bitquery, 44 binden fazla cüzdandan en az 6,01 milyon dolarlık çıkış saydı ve bu cüzdanların yüzde 86'sının Keplr'in uyarısından sonra boşaltıldığını belirtti. GoPlus ise çalınan tutarı en az yaklaşık 1 milyon dolar olarak verdi. Keplr'i geliştiren Chainapsis'in kurucu ortağı Josh Lee, Google/Apple ile açılan hesapların yaklaşık yüzde 20'sinin etkilenmiş olabileceğini tahmin etti.
Web3Auth, risk altındaki cüzdanlardaki fonları 11 Cosmos tabanlı ve sekiz Ethereum uyumlu ağda "güvenli kurtarma cüzdanlarına" taşıdığını ve bu adreslerin listesini yayımladığını açıkladı. Geri ödeme planı ya da sosyal girişin ne zaman açılacağına dair bir takvim duyurulmadı.
Kimler etkilenmiyor?
Keplr'in ilk değerlendirmesine göre recovery phrase (seed) ile oluşturulan ve donanım cüzdanına bağlı hesaplar etkilenmedi. Web3Auth'u Haziran 2025'te satın alan Consensys tarafında, Web3Auth "MetaMask kullanıcılarının etkilendiğine dair kanıt olmadığını" söyledi.
Olay, cüzdanın kendisi değil, giriş ve anahtar yönetimini üstlenen üçüncü taraf bir servisin hedef alındığı bir tedarik zinciri riskini gösteriyor: kullanıcı parolası ya da cihazı ele geçirilmeden de anahtar katmanındaki bir sorun binlerce hesaba aynı anda yansıyabiliyor.
Ne yapılmalı?
- Google veya Apple ile oluşturulmuş bir Keplr cüzdanınız varsa bu cüzdana yeni fon göndermeyin; hesabı başka bir uygulamaya yeniden içe aktarmayın veya yeniden oluşturmayın (Keplr'in uyarısı).
- Stake edilmemiş varlıkları recovery phrase ile oluşturduğunuz ya da donanım cüzdanına bağlı yeni bir hesaba taşıyın.
- Fonlarınız taşınmışsa Web3Auth'un yayımladığı kurtarma adresi listesini yalnızca Keplr ve Web3Auth'un resmi kanallarından kontrol edin.
- "Fonlarınızı kurtaralım" diyen doğrudan mesajlara, sahte destek hesaplarına ve bağlantılara itibar etmeyin; bu tür olaylar ikinci bir dolandırıcılık dalgası doğurur.
- Kurumlar için: sosyal giriş ya da MPC tabanlı anahtar yönetimi kullanan ürünlerde, sağlayıcının kesinti ve ihlal senaryosunu (bildirim, fon taşıma, kullanıcı iletişimi) olay müdahale planına ekleyin.
