Web3Auth सुरक्षा खामी से Keplr के सोशल-लॉगिन वॉलेट प्रभावित

Web3Auth की खामी से Keplr के कुछ सोशल-लॉगिन वॉलेट प्रभावित

Google या Apple साइन-इन के ज़रिए वॉलेट बनाने वाले Keplr के कुछ उपयोगकर्ता Web3Auth द्वारा उपलब्ध कराए गए इंफ्रास्ट्रक्चर की सुरक्षा खामी से प्रभावित हुए। इस घटना को हर Keplr वॉलेट के व्यापक रूप से हैक होने के तौर पर नहीं बताया गया है: बताई गई आशंका वॉलेट बनाने के एक खास तरीके से जुड़ी है। Keplr का कहना है कि रिकवरी फ़्रेज़ या हार्डवेयर वॉलेट से बनाए गए खातों को कोई जोखिम नहीं है। इससे सोशल-लॉगिन खातों और वॉलेट सेटअप के इन अन्य तरीकों के बीच स्पष्ट अंतर सामने आता है।

Web3Auth ऐसे लॉगिन टूल उपलब्ध कराता है जिनसे ऐप्लिकेशन सोशल खातों के ज़रिए क्रिप्टो वॉलेट बना सकते हैं। 6 नवंबर को उसने अपनी एम्बेडेड वॉलेट सेवा रोक दी और लॉगिन सेवा को रखरखाव मोड में डाल दिया। कंपनी ने शुरुआत में बताया कि MetaMask उपयोगकर्ताओं पर असर का कोई संकेत नहीं मिला है; MetaMask उपयोगकर्ताओं को अक्टूबर में एक अलग सुरक्षा घटना का सामना करना पड़ा था। एक दिन बाद, Web3Auth ने खामी का पता अपने ही इंफ्रास्ट्रक्चर में लगाया और पुष्टि की कि Keplr के कुछ वॉलेट प्रभावित हुए थे।

पुष्टि के बाद, Keplr ने Google और Apple से साइन-इन करने की सुविधा बंद कर दी। इस कदम से प्रभावित साइन-इन विकल्पों का उपयोग सीमित होता है, लेकिन उपलब्ध कराए गए विवरण में यह नहीं बताया गया है कि इन्हें कब बहाल किया जाएगा या प्रभावित सभी खातों को सुरक्षित किया गया है या नहीं। Bitquery ने Cosmos-आधारित आठ चेन पर लगभग 44,700 प्रभावित Keplr वॉलेट गिने। यह घटना कई नेटवर्क तक फैली है, हालांकि यह संख्या अपने आप में यह साबित नहीं करती कि हर उपयोगकर्ता को कितना नुकसान हुआ या गिने गए सभी वॉलेट से धन निकाल लिया गया।

इस घटना का Keplr उपयोगकर्ताओं पर क्या असर पड़ा

Bitquery ने इस निकासी से 60 लाख डॉलर से अधिक की राशि को जोड़ा और बताया कि सबसे बड़ा एकल नुकसान लगभग 3,25,000 डॉलर का था। ये आंकड़े उसकी निगरानी में पहचानी गई ऑन-चेन गतिविधि का वर्णन करते हैं; इन्हें उपयोगकर्ताओं के अंतिम नुकसान की पुष्टि के रूप में नहीं पढ़ा जाना चाहिए। Web3Auth का कहना है कि हमलावर के वॉलेट माने गए कुछ पते वास्तव में उसके रिकवरी वॉलेट हैं। इसलिए, शीर्षक में दी गई कुल राशि में सुरक्षित रखने के लिए कस्टडी में भेजे गए धन भी शामिल हो सकते हैं, हालांकि कंपनी ने उस हिस्से की मात्रा नहीं बताई है।

प्रतिक्रिया को समझने के लिए घटनाओं का क्रम महत्वपूर्ण है। Web3Auth का कहना है कि उसने साझेदारों के साथ एक व्हाइटहैट अभियान शुरू किया और हमलावर के उन तक पहुँचने से पहले, उसी पहुँच मार्ग का इस्तेमाल करके, कमजोर वॉलेट से धन निकाल लिया। इसलिए, कंपनी के स्पष्टीकरण के बिना देखने पर उन वॉलेट से हुए ट्रांसफ़र चोरी जैसे लग सकते हैं। कंपनी का कहना है कि उसके द्वारा पहचाने गए गंतव्य पते उसके रिकवरी अभियान के हैं, लेकिन स्रोत में हर ट्रांसफ़र का पूरा, लेन-देन-दर-लेन-देन हिसाब नहीं दिया गया है।

8 नवंबर को, Web3Auth ने Injective, dYdX, Babylon, Axelar, Saga, Agoric और आठ EVM चेन के सत्यापित पते प्रकाशित किए। इनमें से कई पते, उन कलेक्टर वॉलेट के साथ एक ही कुंजी साझा करते हैं जिन्हें Bitquery ने निकासी से जोड़ा था। यह समानता समझाती है कि कुछ गतिविधि को हमलावर के नियंत्रण वाली क्यों माना गया। हालांकि, इससे अपने आप में हर निगरानी की गई संपत्ति की अंतिम स्थिति या स्वामित्व साबित नहीं होता; Web3Auth का कहना है कि पहचाने गए पतों का उपयोग रिकवरी के लिए किया जाता है।

रिकवरी वॉलेट ऑन-चेन तस्वीर को जटिल बनाते हैं

Web3Auth का कहना है कि इस कार्रवाई के ज़रिए बरामद की गई धनराशि सुरक्षित है और उसे लौटाने का तरीका खोजने के लिए वह Keplr के साथ काम कर रहा है। उसने यह नहीं बताया है कि Bitquery द्वारा ट्रैक की गई कुल राशि में से कितनी रकम उसने सुरक्षित की है। इसलिए उपयोगकर्ता और पर्यवेक्षक अभी 60 लाख डॉलर से अधिक के आंकड़े का सुरक्षित रखी गई धनराशि से मिलान नहीं कर सकते। बताई गई रिकवरी की कोशिश प्रभावित उपयोगकर्ताओं के लिए उत्साहजनक है, लेकिन उपलब्ध जानकारी के अनुसार वितरण की राशि, समय और सटीक प्रक्रिया अब भी स्पष्ट नहीं हैं।

यह घटना यह भी दिखाती है कि सक्रिय सुरक्षा घटना के दौरान वॉलेट से किए गए ट्रांसफ़र के लेबल का अर्थ समझना क्यों मुश्किल हो सकता है। किसी असुरक्षित पते से बाहर किया गया ट्रांसफ़र हमलावर की कार्रवाई हो सकता है या प्रतिक्रिया दल का सुरक्षात्मक कदम; इस मामले में, Web3Auth का कहना है कि उसकी टीम ने हमलावर के समान ही पहुँच मार्ग का इस्तेमाल किया। सत्यापित पते प्रकाशित करने से कुछ रिकवरी वॉलेट की पहचान करने में मदद मिलती है, लेकिन इससे पूरे मामले का विस्तृत हिसाब नहीं मिलता और न ही हर प्रभावित शेष राशि के गंतव्य की पुष्टि होती है।

Web3Auth ने उपयोगकर्ताओं को नकली रिकवरी सहायता देने वाले जालसाज़ों से सावधान किया। यह चेतावनी ऐसी स्थिति में उपयोगी है, जब उपयोगकर्ता धन-वापसी की आधिकारिक प्रक्रिया की प्रतीक्षा कर रहे हों और ऐसे लोगों के संपर्क में आ सकते हों जो धनराशि लौटाने का दावा करते हैं। कंपनी का कहना है कि वह Keplr के साथ समन्वय कर रही है, लेकिन स्रोत में रिकवरी के कोई विशिष्ट निर्देश या समय-सीमा नहीं दी गई है। उपयोगकर्ताओं को घोषित रिकवरी प्रयास और अनचाहे प्रस्तावों के बीच अंतर करना चाहिए और किसी अनौपचारिक दावे को धनराशि तक पहुँच का प्रमाण नहीं मानना चाहिए।

धनराशि की रिकवरी और व्यापक सुरक्षा संबंधी प्रश्न

Keplr की प्रतिक्रिया उन उपयोगकर्ताओं के लिए भी प्रासंगिक है, जो रिकवरी फ़्रेज़ या हार्डवेयर वॉलेट के बजाय सोशल साइन-इन पर निर्भर करते हैं। वॉलेट टीम का कहना है कि इस घटना से उन बाद वाले खाता प्रकारों को कोई जोखिम नहीं है, जबकि खामी की पुष्टि होने के बाद Google और Apple साइन-इन बंद कर दिए गए। दी गई जानकारी में अलग-अलग खातों के लिए किए जाने वाले सुधारात्मक उपायों का विवरण नहीं है और न ही यह बताया गया है कि प्रभावित उपयोगकर्ताओं को कोई अतिरिक्त कदम उठाने की ज़रूरत है या नहीं। वॉलेट सेटअप के प्रकारों के बीच का अंतर ही इस घटना के विवरण में दी गई सबसे स्पष्ट सलाह है।

यह घटना साल की शुरुआत में Cosmos इकोसिस्टम में आई उथल-पुथल के बाद हुई: उपलब्ध विवरण के अनुसार, Leap Wallet बंद होने के बाद Cosmos के कई उपयोगकर्ता Keplr की ओर चले गए। यह इतिहास बताता है कि Keplr की सुरक्षा से जुड़ी समस्या पूरे समुदाय के लिए क्यों मायने रख सकती है, लेकिन इससे यह साबित नहीं होता कि Leap के बंद होने के कारण यह खामी आई या नुकसान हुआ। अन्य परियोजनाओं ने भी उपयोगकर्ताओं को आश्वस्त करने की कोशिश की; PancakeSwap ने कहा कि उसके फंड और स्मार्ट कॉन्ट्रैक्ट सुरक्षित रहे।

Keplr का यह मामला रिपोर्ट में बताए गए सुरक्षा संबंधी घटनाक्रमों की व्यापक कड़ी में जुड़ता है। इनमें 2026 में उत्तर कोरियाई हैकरों द्वारा 7.61 अरब डॉलर चुराना और हाल ही में एक हमलावर द्वारा 1,400 से अधिक Qubic वॉलेट खाली करना शामिल है। ये उदाहरण व्यापक सुरक्षा परिदृश्य को दर्शाते हैं, Web3Auth की खामी से कोई संबंध स्थापित नहीं करते। यहाँ मुख्य अनसुलझे सवाल हैं कि Web3Auth ने ट्रैक की गई कितनी क्रिप्टोकरेंसी की सुरक्षा की थी, बरामद संपत्तियाँ कैसे लौटाई जाएँगी और बंद किए गए साइन-इन विकल्प सुरक्षित रूप से कब फिर से शुरू किए जा सकेंगे।

स्रोत: BeInCrypto