Algumas pessoas que configuraram uma carteira de criptomoedas Keplr com a conta do Google ou da Apple tiveram dinheiro roubado por um invasor.
A Keplr usa uma empresa chamada Web3Auth para operar esse login com Google e Apple. O invasor explorou uma falha de segurança dessa empresa para acessar as carteiras, afirmaram as duas companhias no fim da semana passada.
Em seguida, a Web3Auth usou a mesma rota do invasor para esvaziar outras carteiras vulneráveis antes que ele chegasse até elas, segundo a própria empresa. Com ajuda da fabricante da carteira, ela transferiu esse dinheiro para carteiras de recuperação, para guarda segura. Por isso, um saldo zerado pode significar que o dinheiro foi resgatado, e não roubado.
Carteiras criadas com uma frase de recuperação (uma lista de cópia de segurança com 12 ou 24 palavras) ou com uma carteira de hardware não são afetadas, informou a fabricante. Ela suspendeu o login com Google e Apple enquanto investiga o caso.
O que os usuários afetados devem fazer
A fabricante da carteira publicou orientações aos usuários para contas criadas com login do Google ou da Apple:
- Não envie novos fundos para a conta.
- Não reimporte a conta nem a recrie em outro lugar.
- Transfira os fundos que não estejam em staking ou bloqueados para uma conta que use frase de recuperação ou carteira de hardware.
- Confie apenas em atualizações das contas oficiais da fabricante da carteira e do provedor de login, e ignore mensagens diretas ou links que ofereçam “recuperação”.
Os ativos em staking e os bloqueados estão levando mais tempo para ser protegidos. A fabricante da carteira também trabalha com o provedor de login em uma forma de os usuários verificarem se a conta foi afetada.
Enquanto isso, o provedor de login publicou uma lista de endereços de recuperação, que, segundo ele, permite distinguir as próprias transferências de possíveis transferências maliciosas.
O provedor também alertou os usuários para não presumirem que um endereço de destino desconhecido esteja ligado ao invasor.
O que deu errado
Em uma atualização sobre o incidente, a Web3Auth afirmou que um problema de segurança em sua própria infraestrutura afetou determinadas carteiras que ela fornece dentro do aplicativo Keplr.
A Keplr foi além e disse que a falha levou a uma “violação de chave privada” para alguns usuários que entraram com Google ou Apple. Uma chave privada é o código secreto que autoriza pagamentos a partir de uma carteira, por isso quem a detém pode movimentar o dinheiro.
Nenhuma das empresas explicou como a falha funcionava, quando o invasor a usou pela primeira vez ou se essa rota já foi fechada.
Para onde foi o dinheiro
Nenhuma das empresas divulgou um valor em dólares do roubo. Josh Lee, cofundador da Keplr, apresentou uma estimativa inicial em suas primeiras conclusões: cerca de 20% das contas com login do Google e da Apple foram afetadas, e apenas uma fração delas parecia ter sido explorada.
A GoPlus, empresa de segurança em Web3, afirmou em um alerta de segurança que pelo menos cerca de US$ 1 milhão foram roubados. A empresa não explicou como chegou a esse número.
O dinheiro resgatado foi para o que o provedor de login chama de carteiras de recuperação seguras, em 11 blockchains da família Cosmos e em oito cadeias do tipo Ethereum.
A Bitquery, empresa de dados sobre blockchain, contabilizou pelo menos US$ 6,01 milhões saindo de mais de 44 mil carteiras para as carteiras de recuperação até o fim da semana passada. A empresa havia divulgado inicialmente as transferências como roubo. Depois, publicou uma análise corrigida que as trata como resgate, embora diga não ter como verificar quem controla as carteiras de recuperação.
A primeira dessas transferências ocorreu 21 minutos antes do primeiro comunicado público do provedor de login, mostram os dados da empresa. A maioria das carteiras, 86%, foi esvaziada depois que a fabricante alertou os usuários.
Os fundos movimentados estão seguros, afirmou o provedor de login em sua sequência de publicações sobre a recuperação, e ele trabalha com a fabricante da carteira para devolvê-los aos usuários. Não informou como nem quando isso ocorrerá.
Além da Keplr
O provedor de login afirmou que o problema atinge serviços usados por outras empresas, mas a Keplr é a única que ele citou nominalmente. Ele suspendeu seu serviço de carteira incorporada, que outros aplicativos usam para criar carteiras para seus usuários. Sua página de status ainda mostra o serviço de login como fora do ar até hoje.
A Consensys, empresa por trás da carteira MetaMask, comprou o provedor de login em junho de 2025. Seu anúncio da aquisição dizia que o negócio permitiria aos usuários da MetaMask criar e recuperar carteiras com logins sociais. O provedor afirmou que sua investigação inicial não encontrou “nenhuma evidência de que usuários da MetaMask sejam afetados”.
