Keplr, una billetera cripto no custodial ampliamente utilizada en el ecosistema Cosmos, suspendió los inicios de sesión sociales con Google y Apple después de que usuarios reportaran transacciones no autorizadas en cuentas creadas con esos métodos. La empresa vincula el problema a Web3Auth, el proveedor externo que respalda la función de inicio de sesión social. Ninguna de las dos empresas ha revelado las pérdidas totales, la causa raíz ni un cronograma para una solución.

⚠️ALERT: Crypto wallets created with Google or Apple logins are being hit by unauthorized transactions. Keplr, the main wallet of the Cosmos ecosystem, paused both login options after users reported the thefts. The incident originated at Web3Auth, the login service owned by… pic.twitter.com/wYn5BFaxCg
— Coin Bureau (@coinbureau) November 7, 2026

https://x.com/coinbureau/status/2119097550808764482?ref_src=twsrc%5Etfw

Keplr indica que las billeteras configuradas con una frase de recuperación o una billetera de hardware no están afectadas. En una billetera no custodial, los usuarios conservan las claves privadas que aprueban las transacciones. Cosmos, el ecosistema donde Keplr es más utilizado, es una red de blockchains independientes que se comunican entre sí mediante un protocolo llamado IBC.

Cómo se desarrolló el incidente

El incidente se desarrolló a través de una serie de declaraciones públicas en X. Web3Auth señaló el problema por primera vez en una publicación a aproximadamente las 21:13 UTC del 6 de noviembre de 2026, indicando que un problema de seguridad afectaba servicios utilizados por algunos terceros. La empresa pausó simultáneamente su servicio de billetera embebida, que permite a las personas iniciar sesión y transaccionar dentro de una aplicación sin una extensión de billetera separada. Dado que ese servicio está embebido en aplicaciones de terceros y no lo utiliza únicamente Keplr, la pausa va más allá de las propias opciones de inicio de sesión de Keplr.

Una revisión preliminar no encontró evidencia de que los usuarios de MetaMask resultaran perjudicados, según Web3Auth. Su página de estado lista el Servicio de Inicio de Sesión en mantenimiento debido a un incidente de seguridad, y la empresa afirmó que compartiría los detalles confirmados una vez que estuvieran disponibles.

Keplr publicó su propio comunicado aproximadamente a las 04:38 UTC del 7 de noviembre. La billetera indicó que había recibido reportes de transacciones no autorizadas en algunas cuentas creadas con inicio de sesión de Google o Apple, que trasladó esos reportes a Web3Auth y que desde entonces ha trabajado con el equipo de Web3Auth.

Josh Lee, cofundador de Chainapsis, la empresa detrás de Keplr, compartió hallazgos preliminares aproximadamente a las 08:29 UTC. Señaló que el incidente no fue un hackeo del código propio de Keplr y que se originó en Web3Auth, añadiendo que las cuentas con frase de recuperación y billeteras de hardware permanecen seguras.

Qué cuentas están en riesgo

Lee afirmó que el problema parece afectar a algunas, pero no todas, las cuentas con inicio de sesión de Google y Apple. Una estimación preliminar sitúa la proporción en alrededor del 20%. Solo una fracción de esas cuentas parece completamente explotada hasta ahora, dijo, y el resto podría aún ser recuperable.

El inicio de sesión social permite a los usuarios crear una billetera con una cuenta existente de Google o Apple, reemplazando la frase de recuperación —la lista de palabras que puede reconstruir una billetera en cualquier dispositivo—. Las páginas de soporte de Keplr indican que las claves del inicio de sesión con Google provienen de Web3Auth mediante generación distribuida de claves, un proceso que divide la creación de la clave entre varias partes. La función busca reducir la fricción de incorporación —permitiendo que los principiantes creen una billetera con credenciales que ya poseen—, pero también vincula la seguridad de la cuenta a la infraestructura del proveedor de inicio de sesión, por lo que un problema en el proveedor puede afectar a todas las aplicaciones construidas sobre el mismo flujo de inicio de sesión.

Keplr pidió a los titulares de cuentas posiblemente afectadas que dejen de enviarles nuevos fondos y que no las reimporten ni las recreén en otra billetera o aplicación. Los usuarios deben confiar únicamente en las actualizaciones de la cuenta oficial de X de Keplr, afirmó la empresa, e ignorar los mensajes directos o enlaces que ofrezcan ayuda para la recuperación. Los estafadores suelen hacerse pasar por personal de soporte después de incidentes de billeteras para obtener frases de recuperación. El fabricante de billeteras de hardware NGRAVE dio recomendaciones similares tras un reciente ataque de phishing.

Keplr está trabajando con Web3Auth y MetaMask para rastrear las cuentas afectadas e intentar recuperar los fondos. Consensys, la empresa de software detrás de MetaMask, adquirió Web3Auth el 2 de junio de 2025. Lee señaló que la situación es particularmente difícil porque muchos usuarios de inicio de sesión social son nuevos en las criptomonedas.

Qué sigue sin saberse

Ninguna de las dos empresas ha publicado el número de cuentas afectadas ni el valor de los activos involucrados. No han identificado las cadenas o tokens afectados, la causa raíz ni una fecha para la solución. La cifra del 20% es una estimación preliminar y no un recuento confirmado.

Algunos usuarios en X afirman pérdidas que exceden el alcance indicado por Keplr, incluyendo cuentas antiguas y activos en staking. Estas afirmaciones no son oficiales, The Crypto Times no pudo verificarlas y contradicen partes de la evaluación de Keplr.

Otras advertencias de seguridad para billeteras llegaron a inicios de la semana. BTCPay Server pidió a los usuarios que cerraran sus instancias tras reportes de drenajes de billeteras calientes, mientras que CertiK advirtió que el exploit DarkSword para iOS puede atacar billeteras cripto en iPhones sin parchear.

Aproximadamente a las 11:30 UTC del 7 de noviembre, el servicio de billetera embebida de Web3Auth seguía pausado y Keplr no había restablecido el inicio de sesión con Google o Apple. Ambas empresas afirmaron que compartirían los detalles verificados cuando estuvieran disponibles. Cómo evolucione la historia dependerá de tres puntos pendientes: una causa raíz confirmada, cifras verificadas de cuentas afectadas y pérdidas, y la restitución de los métodos de inicio de sesión suspendidos.