El hackeo de la wallet Keplr ha puesto en alerta a los usuarios que iniciaban sesión con Google o Apple. Keplr pausó ambas opciones de inicio de sesión social después de que transacciones no autorizadas afectaran algunas cuentas, mientras señalaba que las wallets creadas con una frase de recuperación o una wallet de hardware no están afectadas. Web3Auth, el proveedor de la tecnología de inicio de sesión embebida detrás de esta función, suspendió su servicio como parte de la respuesta de seguridad, y a los usuarios con cuentas afectadas se les indicó no depositar activos adicionales.

El rastreo temprano en blockchain ubicó más de 6 millones de dólares en varias direcciones on-chain. Web3Auth dijo después que muchos de los destinos señalados pertenecen a su propia operación de recuperación. Esa aclaración cambia la forma en que deben leerse los flujos on-chain. No borra la actividad no autorizada ni establece una cifra final de pérdidas, y los usuarios deben distinguir entre transferencias protectoras y retiros controlados por el atacante.

El hackeo de la wallet Keplr desencadena la pausa del inicio de sesión con Google y Apple

La función de inicio de sesión social de Keplr permitía a los usuarios abrir una cuenta a través de Google o Apple en lugar de registrar una frase de recuperación, con la infraestructura de Web3Auth generando y accediendo a las claves de la wallet. El diseño reflejaba un impulso más amplio en la cripto de consumo para reducir la fricción de las frases semilla en el onboarding, pero colocó la generación y el acceso a las claves en un proveedor externo en lugar de dejarlos únicamente en manos del usuario. Web3Auth pausó por primera vez su servicio de wallet embebida el 6 de noviembre y puso su Login Service en mantenimiento mientras los investigadores revisaban el incidente de seguridad.

Keplr reveló al día siguiente que algunas cuentas de inicio de sesión social tenían transacciones que sus propietarios no habían autorizado. La empresa desactivó el inicio de sesión con Google y Apple mientras examinaba el incidente junto con Web3Auth.

What this means for Keplr users

If you created your Keplr wallet with a recovery phrase or a hardware wallet, you are NOT affected.

In response to Web3Auth's infrastructure vulnerability leading to private key breach some Keplr users who signed in with Google or Apple, we are…

— Keplr Wallet (@keplrwallet) November 7, 2026

El hackeo afecta a la ruta de inicio de sesión social, no a todas las cuentas de Keplr. La orientación de Keplr es directa: no enviar nuevos activos a una cuenta afectada. Los usuarios deben mover los tokens líquidos restantes a una wallet de frase de recuperación o de hardware independiente.

Una filtración de clave privada puede exponer los saldos de Cosmos de inmediato. En las redes basadas en Cosmos, las direcciones en diferentes cadenas suelen compartir la misma clave subyacente aunque lleven prefijos distintos, y ese diseño puede convertir una sola clave comprometida en un problema para todo el ecosistema. También explica por qué el rastreo temprano encontró actividad en Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX y Babylon.

Bitquery rastrea al menos 6,01 millones de dólares a ocho destinos

La firma de análisis de blockchain Bitquery, que publicó sus hallazgos en una página pública de investigación, rastreó al menos 6,01 millones de dólares a ocho destinos. La firma registró 44.041 wallets drenadas en siete cadenas vinculadas y estimó el número total de víctimas cerca de 44.700. Su investigación no incluyó los tokens sin precio en el total en dólares, y registró una mayor pérdida individual cercana a los 325.000 dólares.

La cifra original no es un total final confirmado del robo. Refleja el valor que tenían las direcciones mencionadas en el punto de corte de la investigación. Las wallets de recuperación verificadas de Web3Auth ahora ayudan a los analistas a separar los saldos robados de los activos transferidos durante la respuesta whitehat, y esa evaluación puede cambiar a medida que las empresas concilien transacciones individuales con los usuarios.

El hackeo de la wallet Keplr genera preguntas sobre las wallets de recuperación

Web3Auth informó posteriormente que comenzó las recuperaciones whitehat antes de que un atacante pudiera llegar a algunas wallets vulnerables, usando la misma vía de acceso para asegurar los activos afectados. Como resultado, un saldo que salga de una wallet de inicio de sesión social no prueba automáticamente un robo.

Cosmos Hub cosmos1atuap9kfnt6y8ykvn3437e7j3z8qffh3qtnmwu

Osmosis osmo1atuap9kfnt6y8ykvn3437e7j3z8qffh3gsqtcw

Celestia celestia1atuap9kfnt6y8ykvn3437e7j3z8qffh33pzt53

Akash akash1atuap9kfnt6y8ykvn3437e7j3z8qffh3ds7uhx

Noble noble1atuap9kfnt6y8ykvn3437e7j3z8qffh3ggxnkj

— Web3Auth (@Web3Auth) November 8, 2026

El 8 de noviembre, Web3Auth publicó los destinos verificados para su esfuerzo de recuperación, y Keplr retransmitió la misma lista, señalando que las direcciones mencionadas no eran maliciosas ni direcciones de exploit. La lista incluía destinos en ocho cadenas de Cosmos, tres redes adicionales de Cosmos y una dirección EVM que cubre ocho cadenas.

Esas wallets de recuperación de Web3Auth se superponen con direcciones que Bitquery había asociado previamente con el drenaje, y esa superposición complica la estimación titular de pérdidas. Web3Auth no ha divulgado el valor que aseguró, y ninguna de las dos empresas ha proporcionado una conciliación final de pérdidas. Todavía no hay un proceso de devolución ni un análisis técnico post mortem. Esos puntos abiertos marcan ahora qué observar: un análisis técnico que explique cómo se expusieron las claves privadas, la divulgación del valor que Web3Auth aseguró durante la respuesta whitehat, y una decisión sobre si el inicio de sesión con Google y Apple regresa a Keplr y cómo lo hace.

Keplr dijo que algunas cuentas pueden parecer vacías porque los activos fueron movidos durante la mitigación, y los activos en staking y bloqueados requieren más tiempo para asegurarse. Los usuarios no deben confiar en mensajes directos, entregar sus frases de recuperación ni enviar fondos a una dirección supuestamente de rescate.

El hackeo de la wallet Keplr sigue siendo un incidente de seguridad confirmado con una cifra financiera sin definir. La distinción clave es estrecha pero importante: Web3Auth llama wallets protectoras a algunos destinos de transferencia, mientras que la actividad no autorizada afectó a cuentas de inicio de sesión social. Hasta que las empresas publiquen una conciliación completa, la división entre fondos robados y protegidos sigue sin estar clara.