Keplr Wallet menangguhkan opsi masuk melalui akun Google dan Apple setelah insiden keamanan pada Web3Auth mengekspos kunci privat pengguna ke pihak luar. Pembobolan ini berujung pada pengalihan dana sekitar $6,01 juta ke dua alamat penampung utama sepanjang 6-7 November.
Firma analitik on-chain Bitquery melacak sekitar 44.700 dompet unik yang terdampak pencurian itu. Sebaran dompet korban mencakup 44.041 alamat di tujuh jaringan Cosmos serta 7.603 akun di jaringan Injective.
Jaringan Cosmos Hub mencatat kerugian terbesar dengan nilai pengurasan sekitar $3,5 juta. Di luar Cosmos Hub, transaksi tidak sah dilaporkan menyasar saldo pengguna di Osmosis, Celestia, Akash, Noble, Babylon, dYdX, dan Injective.
Yang membuat pencurian ini berlangsung cepat bukan sekadar penarikan saldo di dompet biasa, melainkan cara peretas membobol aset yang sedang dikunci.
Trik Mengakali Masa Tunggu Staking 21 Hari
Peretas membobol 1,96 juta ATOM yang berada dalam status staking di Cosmos Hub. Dalam operasional normal, penarikan koin ATOM dari sistem staking mewajibkan pemilik akun melewati periode unbonding standar selama 21 hari sebelum saldo dapat dipindahkan ke dompet lain.
Pelaku menyiasati masa tunggu tiga pekan itu dengan memanfaatkan mekanisme tokenisasi staking-share. Skema ini mengonversi hak atas koin yang terkunci menjadi bentuk likuid, sehingga saldo curian dapat ditransfer seketika tanpa perlu menunggu proses unbonding selesai.
Status 20 Persen Akun dan Penyelamatan Aset
Co-founder Keplr Josh Lee menegaskan pembobolan ini bukan berasal dari celah pada kode aplikasi Keplr. Lee menjelaskan bahwa insiden ini berakar dari kegagalan infrastruktur autentikasi pihak ketiga Web3Auth, entitas milik Consensys yang memfasilitasi pembuatan dompet melalui akun media sosial tanpa pengelolaan seed phrase manual.
📌 Baca JugaTanpa Perlu Tanda Tangan Transaksi - Eksploit DarkSword Incar Dompet Kripto iPhone Lewat Safari
Josh Lee memperkirakan sekitar 20% akun Keplr yang terdaftar via akun Google dan Apple berpotensi terdampak oleh insiden ini. Kendati demikian, Lee menambahkan bahwa pelaku kejahatan baru mengeksploitasi sebagian kecil dari total akun yang rentan itu.
Web3Auth menyatakan pengguna dompet MetaMask tidak terpengaruh oleh kerentanan pada sistem mereka. Guna menyelamatkan aset pengguna yang masih tertinggal di alamat-alamat berisiko, penyedia autentikasi itu meluncurkan operasi pemulihan whitehat.
Langkah penangguhan ini memberi sinyal tegas bagi pengguna: kepraktisan membuat dompet kripto lewat akun media sosial membawa konsekuensi saat gerbang autentikasi pihak ketiga mengalami kebocoran. Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
