Khôi phục ví Keplr bằng khóa cũ vẫn còn nguy cơ lộ khóa

Khôi phục tài khoản Keplr trên ứng dụng khác bằng khóa riêng cũ không làm thay đổi khóa đó. Nếu khóa đã bị lộ, đăng nhập lại bằng khóa này vẫn cho phép truy cập cùng tài khoản.

Keplr cho biết tài khoản tạo bằng đăng nhập Google dùng khóa riêng dạng thập lục phân do Web3Auth tạo ra thay cho cụm từ khôi phục. Khóa được mã hóa bằng mật khẩu và lưu trên thiết bị của người dùng.

Hướng dẫn nhập ví của Keplr cho phép khôi phục tài khoản cũ bằng cụm từ khôi phục hoặc khóa riêng. Nhập cùng một khóa vào ứng dụng khác sẽ mở cùng tài khoản; đặt mật khẩu mới trong ứng dụng cũng không thay thế khóa riêng.

Để xem khóa riêng, người dùng cần mở tiện ích ví Keplr, chọn tài khoản và nhập mật khẩu. Một số tài khoản cũ có thể không hỗ trợ chức năng này.

Web3Auth chuyển dịch vụ đăng nhập sang trạng thái bảo trì do sự cố bảo mật. Thời gian bảo trì được thông báo là từ 3 giờ 30 ngày 7 tháng 11 đến 3 giờ 30 ngày 8 tháng 11, theo giờ Hàn Quốc.

Trước đó, Keplr thông báo một số khóa riêng của tài khoản đăng nhập mạng xã hội bị lộ và khuyến nghị người dùng chuyển số tài sản còn lại. CryptoSlate đưa tin Keplr đã nhận được báo cáo về giao dịch trái phép trên một số tài khoản đăng nhập bằng Google và Apple, đồng thời cho biết một số khóa riêng đã bị xâm phạm.

Theo thông tin CryptoSlate đăng tải, hướng dẫn ban đầu của Keplr khuyên người dùng không gửi thêm tài sản vào các tài khoản này và không nhập lại tài khoản hiện có trên ứng dụng khác. Hướng dẫn sau đó khuyến nghị chuyển tài sản thanh khoản còn lại sang tài khoản được tạo bằng cụm từ khôi phục hoặc ví phần cứng.

Nhập khóa cũ vào ứng dụng khác có thể khôi phục quyền truy cập tài khoản, nhưng không tạo khóa mới. Chuyển tài sản sang tài khoản riêng được tạo bằng cụm từ khôi phục hoặc ví phần cứng sẽ đưa tài sản ra khỏi tài khoản do khóa cũ kiểm soát.

CryptoSlate cho biết các biện pháp bảo vệ tài sản của Keplr có thể khiến số dư ở một số tài khoản giảm hoặc hiển thị trống. Chỉ dựa vào thay đổi số dư trên màn hình thì không thể kết luận tài sản đã bị đánh cắp hay việc thu hồi đã hoàn tất.

MetaMask Builder Hub cho biết cuộc điều tra ban đầu sau khi dịch vụ ví nhúng của Web3Auth tạm ngừng hoạt động không tìm thấy bằng chứng cho thấy người dùng MetaMask bị ảnh hưởng. Các bình luận trên diễn đàn về khó khăn khi đăng nhập phản ánh vấn đề truy cập, không đồng nghĩa với việc khóa riêng bị lộ.