Kebocoran Dompet Keplr Picu Transfer $6 Juta di Jaringan Cosmos

Kerentanan Web3Auth Membuat Akun Masuk Sosial Keplr Terpapar

Masalah ini bermula pada Jumat, 6 November, ketika Web3Auth mengungkap masalah keamanan yang memengaruhi infrastruktur yang digunakan oleh layanan pihak ketiga. Pada Sabtu dini hari, Keplr melaporkan adanya transaksi tidak sah yang melibatkan akun yang dibuat melalui otentikasi Google dan Apple, sehingga penyedia dompet tersebut menonaktifkan kedua metode login tersebut.

Josh Lee, salah satu pendiri Chainapsis—perusahaan di balik Keplr—kemudian mengklarifikasi bahwa kerentanan tersebut berasal dari Web3Auth, bukan dari perangkat lunak Keplr sendiri. Perkiraan awal menunjukkan sekitar 20% akun login media sosial terpengaruh, meskipun dilaporkan hanya sebagian kecil yang telah dieksploitasi.

Perbedaan ini penting karena fitur login melalui media sosial Keplr bergantung pada infrastruktur kunci pihak ketiga, bukan frasa pemulihan konvensional yang dikendalikan pengguna. Kemudahan tersebut memang menyederhanakan proses pendaftaran kripto, tetapi menciptakan ketergantungan yang tidak ada pada pengaturan dompet perangkat keras dan frasa benih tradisional.

Perusahaan analisis blockchain Bitquery meneliti transaksi yang terjadi pada 6-7 November, dan mengidentifikasi aktivitas pengosongan dompet secara luas di Cosmos Hub, Osmosis, Celestia, Akash, Noble, Dydx, Babylon, dan Injective.

Penyelidikan tersebut memperkirakan bahwa alamat-alamat pengumpul menerima aset senilai setidaknya $6,01 juta, berdasarkan penilaian yang tercatat pada 7 November. Cosmos Hub menyumbang sekitar $3,50 juta, diikuti oleh Osmosis sebesar $1,04 juta dan Injective sebesar $615.000.

Mengapa Perkiraan Pencurian $6 Juta oleh Keplr Menjadi Rumit

Analisis Bitquery menghitung sekitar 44.700 kunci pribadi unik yang terlibat dalam aktivitas tersebut, dengan 86% dompet yang terdampak di tujuh jaringan terhubung mengalami transfer setelah peringatan awal dari Keplr. Kerugian median per dompet hanya sebesar $1,34, meskipun transfer individu terbesar mendekati $325.000.

Para penyelidik juga mendokumentasikan sekitar 1,96 juta ATOM yang di-stake berpindah tanpa melalui periode pelepasan ikatan (unbonding) selama 21 hari seperti biasanya. Transaksi-transaksi tersebut menggunakan mekanisme staking likuid, yang mengubah posisi menjadi token saham yang dapat ditransfer sambil mengalihkan sekitar $251.000 dalam bentuk hadiah staking.

Namun, pengungkapan selanjutnya menimbulkan komplikasi penting. Keplr dan Web3Auth mengonfirmasi bahwa operasi pemulihan white-hat menggunakan jalur akses yang terekspos untuk memindahkan aset yang rentan ke dalam penyimpanan perlindungan.

Pada hari Minggu, 8 November, Keplr mengidentifikasi alamat pemulihan yang tumpang tindih dengan beberapa dompet pengumpul yang diperiksa oleh Bitquery. Akibatnya, angka $6,01 juta tersebut mewakili transfer yang teramati, bukan perhitungan terverifikasi atas pencurian yang tidak dapat dipulihkan.

Jaringan Blockchain	Alamat Pemulihan yang Terverifikasi
Cosmos Hub	cosmos1atuap9kfnt6y8ykvn3437e7j3z8qffh3qtnmwu
Osmosis	osmo1atuap9kfnt6y8ykvn3437e7j3z8qffh3gsqtcw
Celestia	celestia1atuap9kfnt6y8ykvn3437e7j3z8qffh33pzt53
Akash	akash1atuap9kfnt6y8ykvn3437e7j3z8qffh3ds7uhx
Noble	noble1atuap9kfnt6y8ykvn3437e7j3z8qffh3ggxnkj
Injektif	inj1lqmdmuczn5rxn5jkc34wwrqdeh70etpf5wvt7g
dYdX	dydx1atuap9kfnt6y8ykvn3437e7j3z8qffh3fjalwt
Babylon	bbn1atuap9kfnt6y8ykvn3437e7j3z8qffh3h4z239
Axelar	axelar1atuap9kfnt6y8ykvn3437e7j3z8qffh3y99n9a
Saga	saga1atuap9kfnt6y8ykvn3437e7j3z8qffh37c2ff6
Agoric	agoric1atuap9kfnt6y8ykvn3437e7j3z8qffh3jk3y72
EVM	0x413e4F4De7E5FF010913488F781E679e76f706dA

Keplr dan Web3Auth Memulai Upaya Pemulihan

Web3Auth menegaskan bahwa dana yang ditransfer melalui operasi perlindungan mereka tetap aman. Sementara itu, Keplr memperingatkan bahwa beberapa pengguna yang terdampak mungkin mendapati saldo mereka tiba-tiba kosong karena aset mereka telah dipindahkan ke tempat yang aman.

Kedua perusahaan belum mengungkapkan penyebab teknis pasti dari kerentanan tersebut, menetapkan angka kerugian yang pasti, atau mengumumkan jadwal penggantian kerugian yang komprehensif.

Pengguna yang membuat akun melalui perusahaan teknologi global seperti Google atau Apple disarankan untuk menghindari penyetoran aset tambahan, memindahkan sisa aset likuid ke dompet yang telah diamankan, dan mengabaikan tawaran pemulihan yang tidak diminta. Aset yang di-stake mungkin memerlukan proses tambahan.

Untuk saat ini, insiden ini mengungkap kontradiksi yang tidak nyaman dalam desain dompet kripto. Menyederhanakan pengelolaan kunci pribadi dapat membuat aplikasi blockchain lebih mudah diakses, tetapi mengalihdayakan proses otentikasi menimbulkan titik kegagalan potensial lainnya. Sampai transfer perlindungan direkonsiliasi dengan penarikan yang dilakukan secara jahat, kekhawatiran keamanan terbaru senilai jutaan dolar di industri ini tetap menjadi misteri akuntansi sekaligus keadaan darurat teknis.