Signal
📡 Signal｜Keplr Wallet、Google・Apple ログインのアカウントで不正送金
Keplr のソーシャルログイン型アカウントで不正送金。Web3Auth はログインサービスを保守モードにし、両社が共同で調査している。
Cosmos 系のチェーンで広く使われる暗号資産ウォレット Keplr は11月7日、Google または Apple のアカウントでログインして作られた一部のウォレットで、利用者の承認のない送金が起きたと公式 X で報告した。ログインの仕組みを提供する Web3Auth に問題を伝え、共同で調査している。Web3Auth は前日6日、「セキュリティ上の事案」を理由に自社のログインサービスを保守モードに切り替えていた。
Keplr の初期の評価では、復元フレーズ (シードフレーズ) やハードウェアウォレットで作ったウォレットは影響を受けていない。被害は、鍵の管理を外部のログインサービスに預ける形のウォレットに限られている。初期報は7日の 速報 で伝えた。
何が起き、何が止まったか
両社が公表した内容を時系列で並べると、次のようになる。
- 11月6日 18時30分 (協定世界時): Web3Auth が、セキュリティ上の事案によりログインサービスを保守モードにしたと状態表示ページで公表。予防措置を取り、復旧したら知らせるとした
- 11月7日 4時38分 (同): Keplr が、Google・Apple ログインで作られた一部のアカウントで不正な送金の報告を受けたと公表。Google・Apple でのログインを一時停止した
Keplr は、Google・Apple ログインで作ったアカウントは影響を受けている可能性があるとして、調査中は次の3点を守るよう利用者に求めた。
- そのアカウントに新たに資金を送らない
- そのアカウントを、どこにも取り込み直したり作り直したりしない
- 更新は Keplr の公式アカウントからのものだけを信じ、「復旧」を持ちかける DM やリンクは無視する
被害の件数と金額、侵入の経路は、現時点でどちらの会社も明らかにしていない。
便利さと引き換えにした、もう一つの鍵の置き場
ソーシャルログイン型のウォレットは、復元フレーズを紙に書き写す手間をなくすために作られた。利用者は使い慣れた Google や Apple のアカウントで入り、秘密鍵の管理の一部はログインサービスの側が担う。暗号資産を初めて持つ人を迎え入れる入口として、多くのウォレットやアプリが同じ仕組みを組み込んできた。
その代わり、鍵に届く経路が一つ増える。復元フレーズで作ったウォレットは、フレーズを持つ利用者だけが鍵を復元できる。ソーシャルログイン型では、ログインサービスの側の仕組みが破られれば、利用者が何も誤っていなくても資金に手が届きうる。今回、フレーズやハードウェアウォレットで作ったウォレットが影響を受けていないという Keplr の初期評価は、被害がこの「預けた側の経路」に沿って出ていることを示す。
Web3Auth の仕組みは Keplr だけのものではない。同じログインサービスを使う他のウォレットやアプリに影響が及んでいるかどうかは、現時点で公表されていない。
次に見るもの
確認先は2つある。Web3Auth の状態表示ページで、保守モードの解除と事案の原因がいつ公表されるか。Keplr の公式 X で、被害の範囲と、影響を受けたアカウントの資金を移す手順が示されるか。Keplr は確認した詳細と次の手順を同じアカウントで伝えるとしている。偽の「復旧」案内が出回る時期でもあり、公式アカウント以外の案内には応じないことが当面の守りになる。
ことば
- ソーシャルログイン型ウォレット — Google や Apple などのアカウントでログインして作る暗号資産ウォレット。復元フレーズを保管しなくて済む代わりに、鍵の管理の一部を外部のサービスに頼る。
- Web3Auth — アプリやウォレットに、ソーシャルログインで鍵を扱える仕組みを提供する事業者。利用者は普段のログインで入り、鍵の扱いは裏側のサービスが受け持つ。今回、ログインサービスを保守モードにした。
- 復元フレーズ (シードフレーズ) — ウォレットの秘密鍵を復元するための12〜24個の英単語の並び。持ち主だけが保管し、これがあれば別の端末でも同じウォレットを取り戻せる。
🔗 一次ソース
