Dogecoin(DOGE)社区人士Mishaboar警告社交登录签名威胁钱包安全

Mishaboar点名社交签名风险

Dogecoin (DOGE)社区的老牌评论者Mishaboar上周六在X平台发文,直指社交签名是钱包安全的隐患。值得留意的是,他的警告发出时,为这类登录方式提供底层服务的主要供应商已经暂停了相关业务。所谓社交签名,是指用户无需自行管理助记词,只需用Google账号、Apple ID、Telegram账号或电子邮箱,就能创建并访问一个加密钱包。Mishaboar在他的X帖子中写道:“社交签名,如果你讨厌你的用户,就把它加进你的钱包里。”他的核心论点是:最容易被一键登录吸引的,恰恰是初次进入加密世界的新手,而这批人往往不清楚,当个人账号与钱包服务绑定后,自己究竟交出了什么。风险不止于钱包里的资金。他提醒,一旦同一通道发生数据泄露,现实身份就可能被与Dogecoin生态中的链上持仓关联起来,后果可能非常严重。他的警告还点名了那些把私钥备份到“云端”的钱包:所谓云端,说白了就是别人的服务器。便利性正是这项功能危险的地方,因为它省去了助记词环节,而正是那个环节迫使用户意识到,密钥只有自己掌握。这番提醒出现在一个本就紧绷的市场环境中:狗狗币价格10月收跌20.1%,录得连续第二个“Uptober”月度下跌(详见此前报道),社区对任何可能吓跑散户新人的消息都格外敏感。

Keplr证实事故并上报Web3Auth

多链钱包Keplr的官方声明,证实了这次警告背后真实发生的安全事故。Keplr支持Cosmos、Bitcoin、Ethereum和Starknet等多条链。声明称,公司收到报告,部分通过Google或Apple账号登录创建的Keplr账户出现了未经授权的交易,目前已将该问题升级至Web3Auth团队,双方正在联合调查。Web3Auth正是这些登录方式所依赖的嵌入式钱包基础设施供应商,其在事件公开前已经采取行动:公司表示已知悉一项影响部分第三方使用其服务的安全问题,并临时暂停了嵌入式钱包服务。经过初步调查,该公司说明,没有证据显示MetaMask用户受到影响。这套设计的机制解释了它为何招致如此多的批评。在社交签名架构下,本应只存在于用户一端的私钥,改为在供应商控制的基础设施内生成并托管,访问门槛则取决于一个日常账号的安全性。这种安排实际上更接近第三方托管的热钱包,而非多数买家以为自己选择的自主托管模式,风险也因此集中在 whichever 服务被攻破的那一家。安全阵营长期推崇的替代方案是硬件钱包:助记词从不离开用户之手,供应商被彻底排除在保管链条之外。目前公开信息仍然有限:事后没有发布任何区块链安全审计,Keplr未披露受影响账户的数量和资金规模,Web3Auth也没有说明暂停的服务何时恢复。

两家公司均未公布的关键数字

对Dogecoin (DOGE)持有者而言,这件事的实操结论狭窄但明确。社交签名用密钥控制权换取了更快的开户流程,而做出这种交换的供应商,在出事时并不承担损失。Mishaboar关于身份关联的提醒同样成立:即便资金在攻击中毫发无损,泄露的身份信息也足以构成威胁。他的过往记录也不支持把这次警告当作FUD一笑了之:此前他曾建议Dogecoin用户转移资金,以规避疑似Trezor设备被植入恶意程序的供应链风险。悬而未决的,恰恰是没人公布的部分:受影响账户的具体数量,依赖这项被暂停服务的钱包完整名单,以及服务恢复的日期。在任一家供应商补上这些信息之前,登录账号本身就必须被当作密钥来对待。