Bitquery rastrea robo de $6.01M a wallets de Keplr creadas con inicios de sesión de Google y Apple

Al menos $6.01 millones fueron drenados de wallets de Keplr entre el 6 y 7 de noviembre de 2026, y las pérdidas se rastrearon hasta claves privadas expuestas vinculadas a cuentas creadas mediante inicios de sesión de Google o Apple. La firma de análisis de blockchain Bitquery siguió el rastro del dinero, y sus hallazgos apuntan a la conveniente opción de inicio de sesión social —y no a la configuración tradicional con frase semilla de la wallet— como el eslabón débil.

Esa distinción importa para cualquiera que actualmente tenga activos en Keplr. La exposición reportada involucra cuentas de inicio de sesión social, aquellas en las que el usuario toca "Iniciar sesión con Google" o "Iniciar sesión con Apple" en lugar de escribir una lista de palabras semilla.

Cómo se desarrolló el drenaje

El análisis de Bitquery identificó alrededor de 44,700 wallets distintas afectadas por transacciones no autorizadas. Su desglose contabilizó 44,041 wallets en cadenas del ecosistema Cosmos y 7,603 en Injective.

Cosmos Hub sufrió el mayor impacto, con aproximadamente $3.5 millones de las pérdidas provenientes solo de esa cadena. Una parte de esa cifra involucraba activos en staking: cerca de 1.96 millones de ATOM en staking salieron sin pasar por el período de unbonding habitual de 21 días. Esa espera de 21 días es una característica integrada del sistema de staking de Cosmos Hub: después de una solicitud de unstaking, los tokens normalmente permanecen bloqueados durante 21 días antes de poder transferirse.

Los datos de temporalidad añadieron otra capa preocupante. Bitquery rastreó el 86% de los fondos drenados en redes vinculadas hasta transacciones que ocurrieron después de que Keplr emitiera su advertencia inicial el 7 de noviembre de 2026. Dicho claramente, la mayor parte del dinero salió después de que ya se les había avisado a los usuarios que algo andaba mal.

Dónde está cayendo la culpa

Keplr, el desarrollador de la wallet, atribuyó la brecha a una vulnerabilidad de seguridad en Web3Auth, el servicio externo que gestiona el flujo de inicio de sesión social y maneja las claves de wallet para esas cuentas. Web3Auth confirmó que una vulnerabilidad en su infraestructura expuso las claves privadas de algunos usuarios externos, y dijo que las medidas de protección que tomó coincidieron con los patrones de transacción del atacante.

El cofundador de Keplr, Josh Lee, indicó que la brecha afectó a un estimado del 20% de las cuentas creadas mediante inicios de sesión sociales, añadiendo que solo una fracción de ellas había sido completamente explotada hasta ahora. Keplr suspendió de inmediato los inicios de sesión con Google y Apple y comenzó los esfuerzos de recuperación para las cuentas afectadas.

Al 8 de noviembre de 2026, ni Keplr ni Web3Auth habían revelado la causa técnica exacta de la brecha, publicado un total preciso de pérdidas, confirmado el número de cuentas afectadas ni detallado cuánto dinero puede recuperarse.

Por qué los in de sesión sociales y las frases de recuperación son cosas distintas

Una wallet de criptomonedas está, en última instancia, controlada por una clave privada, y quien posea esa clave puede mover los fondos. La forma clásica de respaldar esa clave es una frase de recuperación, generalmente una cadena de 12 o 24 palabras. El usuario la escribe, la guarda en un lugar seguro y la responsabilidad recae completamente en él.

Los inicios de sesión sociales existen porque las frases de recuperación son, francamente, una mala experiencia de usuario para los principiantes. Servicios como Web3Auth permiten a los usuarios iniciar sesión con cuentas familiares de Google o Apple en su lugar. La contrapartida es que la gestión de claves depende de infraestructura externa, y cuando esa infraestructura tiene una falla, las claves que ayuda a gestionar pueden quedar expuestas, que es lo que Web3Auth dice que ocurrió con algunos usuarios en este caso.

El daño reportado en este incidente se concentra en cuentas creadas mediante inicios de sesión de Google y Apple. Los usuarios que configuraron Keplr con una frase de recuperación tradicional no fueron el foco de la exposición de claves reportada.

Qué significa esto para los usuarios y el ecosistema Cosmos

La prioridad inmediata para los usuarios afectados es simple: cualquiera con una cuenta de Keplr creada mediante Google o Apple debe tratarla como potencialmente expuesta y seguir la guía de recuperación de Keplr.

La amplitud también subraya el papel de Keplr en el interchain: una sola aplicación de wallet que sirve tanto a las cadenas del ecosistema Cosmos como a Injective, lo que en este caso significó que una única vía de inicio de sesión comprometida tocó saldos en múltiples redes a la vez.

La cifra del 86% posterior a la advertencia es el detalle que vale la pena considerar. Como una gran parte de las pérdidas ocurrió después de que se alertara a los usuarios, la rapidez con la que los proveedores de wallets pueden llegar a sus usuarios durante un incidente activo puede importar tanto como la corrección misma.

Las preguntas abiertas siguen siendo las que hay que seguir. Keplr y Web3Auth aún deben explicar la causa técnica exacta, confirmar el total final de pérdidas y el número de cuentas afectadas, y precisar cuánto pueden esperar recuperar los usuarios. Si y bajo qué términos Keplr restablece la opción de inicio de sesión suspendida de Google y Apple es otro desarrollo que vale la pena observar. Hasta que lleguen esas respuestas, los $6.01 millones rastreados por Bitquery constituyen un piso y no un recuento final.

El análisis subyacente fue reportado con mayor detalle por Crypto Briefing.