Transaksi tanpa kebenaran pada sebahagian akaun sosial Keplr

Keplr melaporkan transaksi tanpa kebenaran pada sebahagian akaun yang dibuat melalui log masuk Google atau Apple, sementara penyedia log masuk Web3Auth menggantung perkhidmatan susulan insiden keselamatan. Isu ini bukan sekadar menghalang pengguna daripada log masuk: keselamatan kunci peribadi dan cara mengurus aset turut menjadi persoalan. Mengimport kunci peribadi sedia ada ke dompet lain hanya menukar saluran akses; langkah itu tidak membuktikan bahawa kunci tersebut masih berada dalam kawalan pengguna sahaja.

Web3Auth gantung perkhidmatan, masa pemulihan belum dipastikan

Pada 7 November, Keplr memaklumkan bahawa transaksi tanpa kebenaran berlaku pada sebahagian akaun log masuk Google atau Apple, lalu menggantung kedua-dua kaedah log masuk itu. Pada hari yang sama, Web3Auth berkata pihaknya mengesan isu keselamatan pada infrastrukturnya yang menjejaskan sebahagian dompet terbenam yang digunakan oleh Keplr.

Notis status perkhidmatan Web3Auth menyatakan kerja penyelenggaraan bermula pada 6 November, 18:30 UTC, berkaitan insiden keselamatan tersebut. Setakat 8 November, 13:08 UTC, halaman status masih menyatakan kemas kini akan dikeluarkan selepas perkhidmatan dipulihkan. Tempoh penyelenggaraan yang dipaparkan berakhir pada 7 November, tetapi halaman itu tidak mengesahkan bahawa perkhidmatan telah kembali beroperasi.

Dalam kenyataan pada 7 November, MetaMask Builder berkata siasatan awal tidak menemukan bukti bahawa pengguna MetaMask terjejas. Kenyataan itu hanya merujuk kepada pengguna MetaMask; ia tidak menjelaskan skala akaun Keplr yang terjejas atau status pengurusan aset mereka.

Import kunci peribadi tidak menghapuskan risiko pendedahan

Panduan keselamatan Keplr yang dikemas kini pada September 2025 menyatakan akaun log masuk Google menggunakan kunci peribadi heksadesimal yang dijana oleh Web3Auth, bukannya frasa pemulihan. Kunci itu disulitkan dan disimpan pada peranti pengguna. Panduan berkenaan turut menerangkan pilihan untuk melihat kunci peribadi, namun pilihan tersebut mungkin tidak tersedia bagi sesetengah akaun lama. Panduan mudah alih Keplr pula menerangkan log masuk Google serta import akaun menggunakan frasa pemulihan atau kunci peribadi, dan mengingatkan pengguna supaya menyimpan kunci dengan selamat.

Panduan umum itu menunjukkan bahawa kunci peribadi boleh menjadi kaedah akses yang berasingan daripada log masuk Google. Namun, kewujudan pilihan untuk melihat atau mengeksport kunci tidak membuktikan bahawa setiap pengguna terjejas dapat mengambil kunci mereka semasa perkhidmatan digantung. Dokumentasi tersebut juga tidak mengesahkan sama ada kaedah log masuk alternatif berfungsi dalam insiden ini.

Lebih penting, dalam kemas kini susulan pada 7 November, Keplr berkata kunci peribadi sebahagian pengguna log masuk sosial telah terdedah dan pihaknya membantu Web3Auth melindungi aset. Keplr menyatakan akaun yang dibuat menggunakan frasa pemulihan atau dompet perkakasan tidak terjejas, manakala akaun log masuk Google atau Apple mungkin terkesan. Pengguna yang berkemungkinan terjejas dinasihatkan supaya tidak memindahkan dana baharu ke akaun berkenaan dan memindahkan baki aset yang masih boleh diakses ke akaun menggunakan frasa pemulihan atau dompet perkakasan.

Mengimport kunci peribadi yang sama ke dompet lain hanya menukar perisian yang digunakan untuk mengakses akaun; rahsia yang membolehkan transaksi ditandatangani tetap sama. Jika kunci itu sudah terdedah, menukar antara muka tidak membuktikan bahawa pihak lain tidak boleh menggunakannya. Oleh itu, panduan import kunci peribadi yang umum tidak menggantikan arahan Keplr khusus bagi insiden ini dan bukan penyelesaian yang boleh dianggap tersedia untuk semua akaun terjejas.

Perubahan baki perlu disemak bersama tindakan pemulihan

Web3Auth berkata syarikat itu dan rakan kongsinya telah memulakan usaha pemulihan oleh penggodam beretika untuk melindungi dompet Keplr yang terdedah tetapi belum terjejas, dengan menggunakan laluan yang sama seperti penyerang asal. Keplr pula menyatakan pengurangan atau kehilangan baki pada sesetengah akaun mungkin berkaitan dengan langkah mitigasi. Aset yang dipertaruhkan dan dikunci turut menjadikan pengurusan keadaan lebih rumit.

Justeru, pindahan yang tidak dikenali atau baki yang berkurang sahaja belum cukup untuk menentukan sama ada puncanya ialah serangan, tindakan perlindungan aset atau langkah pengurusan lain. Kesan pada setiap akaun, kemajuan pemulihan aset dan keupayaan pengguna mendapatkan kunci peribadi perlu disahkan secara berasingan. Pemulihan perkhidmatan log masuk hanya menjawab persoalan sama ada perkhidmatan boleh digunakan; ia tidak dengan sendirinya membuktikan kunci peribadi selamat atau aset telah dikembalikan.