Web3Auth Açığı ve Keplr Cüzdan Kurtarışı: Saldırgandan Önce Taşınan 6 Milyon Dolar

Keplr kripto cüzdanını Google veya Apple hesabıyla kuran bazı kişilerin parası çalındı. Keplr bu girişi Web3Auth üzerinden çalıştırıyor; sağlayıcının kendi altyapısındaki açık, saldırganın cüzdanlara ulaşmasına izin verdi.

Hikâyenin dikkat çekici tarafı: Web3Auth, saldırganın kullandığı yolu kullanarak risk altındaki cüzdanları saldırgandan önce boşalttı; fonları cüzdan üreticisinin yardımıyla kurtarma cüzdanlarına taşıdı. Boş bakiye, paranın çalındığı değil kurtarıldığı anlamına gelebilir. Kurtarma ifadesiyle veya donanım cüzdanla kurulan cüzdanlar etkilenmedi.

Rakamlar

• Keplr kurucu ortağı Josh Lee'nin ilk tahmini: Google/Apple girişli hesapların yaklaşık %20'si etkilendi, şimdiye kadar yalnızca küçük bir bölümü kullanıldı.
• GoPlus en az ~1 milyon dolar çalındığını söyledi (yöntem açıklanmadı).
• Bitquery, 44.000'den fazla cüzdandan kurtarma cüzdanlarına en az 6,01 milyon dolar taşındığını saydı — önce hırsızlık raporlandı, sonra Bitquery kendisi bunu kurtarma olarak düzelt, ancak kurtarma cüzdanlarını kimin kontrol ettiğini doğrulayamayacağını söyledi.
• İlk kurtarma transferi, Web3Auth'un ilk kamu duyurusundan 21 dakika önce yapıldı. Boşaltılan cüzdanların %86'sı, Keplr'ın uyarısından sonra boşaltıldı.

Sağlayıcı, fonların güvende olduğunu ve Keplr ile iade için çalıştığını söylüyor; nasıl ve ne zaman, açıklanmadı.

Açığa Neden Oldu

Olay güncellemesinde Web3Auth, kendi altyapısındaki bir güvenlik sorununun Keplr uygulaması içindeki belirli cüzdanları etkilediğini söyledi. Keplr daha da ileri giderek bazı Google/Apple girişli kullanıcılar için "özel anahtar ihlali" yaşandığını açıkladı. İki şirket de açığın nasıl çalıştığını, saldırganın ilk ne zaman kullandığını ve o yolun kapalı olup olmadığını söylemedi.

Sağlayıcı, gömülü cüzdan hizmetini duraklattı; giriş hizmeti durum sayfasında hâlâ down görünüyor. MetaMask'ın geliştiricisi Consensys, Web3Auth'u Haziran 2025'te satın aldı; ilk araştırmalarında "MetaMask kullanıcılarının etkilendiğine dair kanıt bulamadığını" söyledi.

Etkilenen Kullanıcılar Ne Yapmalı

Keplr'ın Google/Apple girişli hesaplar için rehberi:

• Hesaba yeni fon göndermeyin.
• Hesabı hiçbir yere yeniden içe aktarmayın ya da oluşturmayın.
• Stake edilmemiş/kilitli olmayan fonları kurtarma ifadesi veya donanım cüzdan kullanan bir hesaba taşıyın.
• Güncellemelere yalnızca cüzdan üreticisinin ve giriş sağlayıcısının resmi hesaplarından güvenin; "kurtarma" teklif eden DM ve bağlantılara kanmayın. Stake edilmiş ve kilitli varlıklar daha uzun sürüyor. Kurtarılan fonlar, 11 Cosmos ailesi zinciri ve 8 Ethereum tarzı zincirde kurtarma cüzdanlarında duruyor. Web3Auth, kullanıcıların kurtarma transferleriyle kötü amaçlı transferleri ayırt edebilmesi için bir kurtarma adres listesi yayınladı; tanımadık bir adresin saldırgana ait olmayabileceği konusunda da uyardı.

Daha derin ders: sosyal giriş katmanı özel anahtarları kontrol ettiğinde, bir altyapı açığı bir cüzdan boşaltma makinesine dönüşür — aynı kanal üzerinden kurtarma, hem çözümün hem de çalıştığının kanıtıdır.

Sosyal Girişin Bedeli

Bu olay, kolay girişin gizli bedelini gösterir. Sosyal giriş katmanı özel anahtarı temsil edince kolaylık hamlesi, anahtarın kendisiyle aynı kaderi paylaşır ve altyapı borcu cüzdan borcuna dönüşür. Temsil edilen anahtar (key sharding/MPC) mimarileri riski dağıtır, ama tek taraflı kolaylık akışları — kurtarma ifadesiz, donanım kilidi yok, SSO-tek yön — anahtarı tek bir altyapı arızasında boşaltılabilir hale getirir. Kullanıcılara yalnızca "kolaylık" değil, anahtar modelini açıklayan seçimler sunmak ve donanım/kurtarma ifadesi seçeneklerini varsayılan değil standart akış yapmak zorunludur. Bedel, kolaylık ile aynı menüde anlatılmalıdır.

Kaynaklar

• The Hacker News haberi
• Bitquery düzeltilmiş analizi
• Keplr kullanıcı rehberi
• Web3Auth olay güncellemesi
• Web3Auth durum sayfası