Falha da Web3Auth vaza chaves privadas da Keplr com login Google e Apple: parte dos saldos zerados é resgate, não roubo

O que aconteceu

A Web3Auth fornece a camada de login que permite criar as chaves de uma carteira a partir de uma conta Google ou Apple, sem anotar frase-semente. A página de status da empresa mostra o Login Service em manutenção "devido a um incidente de segurança" de 6 de novembro às 18h30 UTC a 7 de novembro às 18h30 UTC, o que corresponde a 02h30 SGT de 7 de novembro até 02h30 SGT de 8 de novembro (15h30 de 6 de novembro a 15h30 de 7 de novembro em Brasília).

O que a Keplr pediu aos usuários

Segundo a PANews, a Keplr atribuiu o vazamento a "uma vulnerabilidade de infraestrutura da Web3Auth" que atingiu parte dos usuários com login social. A ChainCatcher acrescenta que carteiras criadas com frase-semente ou hardware não foram afetadas. As instruções são estas:

• Não envie novos fundos para uma conta criada com Google ou Apple.
• Transfira os ativos líquidos restantes para uma conta criada com frase-semente ou carteira de hardware.
• Algumas contas podem já mostrar saldo menor ou zerado por causa das medidas de proteção.
• Ativos em staking ou bloqueados levam mais tempo para serem tratados.
• Confie apenas nos perfis oficiais da Keplr e da Web3Auth e ignore mensagens diretas e links que prometem recuperar ativos.

Por que o saldo pode aparecer zerado

A Web3Auth publicou endereços de resgate verificados nas redes Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX, Babylon, Axelar, Saga e Agoric, além de endereços EVM em oito redes, segundo a Odaily. A ChainCatcher publicou a mesma lista e informou que novos endereços serão adicionados conforme forem verificados.

Na prática: quando a chave privada de uma carteira vaza, quem move os fundos primeiro fica com o controle. A Web3Auth diz que está movendo antes. O saldo zerado não diz qual dos dois aconteceu; a transação de saída diz.

O que fazer agora

1. Descubra como sua carteira foi criada. Se você entrou com "Continuar com Google" ou "Continuar com Apple" e nunca anotou 12 ou 24 palavras, você está no grupo do alerta. Se importou uma frase-semente ou conectou uma Ledger, a Keplr diz que essa falha não afeta você.

2. Suspenda depósitos para o endereço de login social. Isso inclui saques de corretoras. Se houver um saque pendente para esse endereço que ainda não saiu, cancele se a plataforma permitir, e troque o endereço salvo antes do próximo saque.

3. Crie uma carteira nova que só você controla. Use frase-semente ou hardware, anote as palavras em papel (nada de print ou nota na nuvem) e envie os ativos restantes rede por rede, começando com uma transferência pequena de teste em cada uma.

4. Confira cada transação de saída do endereço antigo. Abra o explorador de blocos de cada rede (Mintscan para a maioria das redes Cosmos) e compare o endereço de destino com a lista oficial da Web3Auth. Se bater, foi resgate. Se não bater, trate como roubo e guarde o hash da transação.

5. Não mexa em staking e posições bloqueadas até a Keplr publicar o procedimento. Não use ferramentas de terceiros.

6. Ignore toda oferta de "recuperação". Depois de um vazamento de chaves aparecem perfis falsos de suporte, sites clonados e mensagens pedindo para "validar" a carteira ou assinar uma transação. Nunca digite sua frase-semente em um site.

Quais tokens estão envolvidos

As redes da lista correspondem a tokens como ATOM, OSMO, TIA, AKT, INJ, DYDX, BABY, AXL, SAGA e BLD, além do USDC emitido na Noble. Nenhuma das atualizações informa valor exposto ou movido, então não há base para falar em pressão de venda sobre algum deles.

Se seus ATOM, TIA ou INJ estão em uma corretora e nunca passaram por uma carteira Keplr com login social, suas chaves não foram atingidas. O cuidado para quem usa corretora é outro: um endereço de saque salvo que aponte para uma conta Keplr afetada. Troque-o e desconfie de e-mails que usem o nome da Keplr. Mais notícias do mercado na nossa central de notícias.

O que não conseguimos confirmar

• O valor total exposto ou movido e o número de contas afetadas.
• Como os ativos resgatados serão devolvidos e que prova de titularidade será exigida.
• Se outros aplicativos com login social da Web3Auth foram afetados.
• Não abrimos as publicações originais da Keplr e da Web3Auth no X; os fatos vêm da página de status da Web3Auth e das reportagens de PANews, Odaily e ChainCatcher.