Wu disse que, segundo informações, o Chief Information Security Officer da SlowMist, 23pds, postou no Twitter que os pesquisadores descobriram um novo tipo de ataque que pode contornar o login com chave WebAuthn. Os atacantes podem sequestrar a API WebAuthn através de extensões de navegador maliciosas ou vulnerabilidades XSS de sites, forçando uma degradação para login por senha ou manipulando o processo de registro de chave, consequentemente roubando as credenciais dos usuários. Este ataque não requer acesso ao dispositivo em si ou ao Face ID; uma vez que o usuário faça login no site comprometido usando uma chave de segurança, ele pode ser falsamente representado, e a conta corre o risco de ser comprometida. O WebAuthn é um padrão de autenticação sem senha baseado em criptografia de chave pública, destinado a substituir o login com senhas tradicionais por meio de chaves de segurança de hardware ou dispositivos de biometria.