Keplr Wallet ha suspendido la funcionalidad de inicio de sesión con Google y Apple después de que usuarios reportaran transferencias no autorizadas de criptomonedas, y las estimaciones tempranas sugieren que aproximadamente el 20% de las cuentas creadas mediante autenticación social podrían ser vulnerables.

El incidente del 7 de noviembre ha afectado wallets en todo el ecosistema Cosmos, con investigadores de la comunidad reportando activos robados que involucran a Injective, Osmosis y Cosmos Hub. Las estimaciones iniciales de pérdidas superaron los 700.000 dólares, aunque el seguimiento independiente posterior indica salidas considerablemente mayores. Keplr no ha confirmado un total oficial de pérdidas.

El problema de seguridad se originó en Web3Auth, el proveedor de autenticación externo que impulsa la funcionalidad de inicio de sesión social de Keplr. Ambas compañías están investigando el compromiso, y Keplr ha advertido a los usuarios afectados que no depositen activos adicionales ni intenten recrear sus wallets.

El cofundador estima que el 20% de las cuentas con inicio de sesión social podrían estar expuestas

Keplr confirmó las transacciones no autorizadas que involucran cuentas de Google y Apple en un comunicado oficial en X, distinguiendo esas wallets de las cuentas creadas mediante frases de recuperación convencionales o dispositivos de hardware. La empresa señaló que su investigación preliminar no encontró evidencia de que esos otros tipos de wallet hubieran sido comprometidos por el incidente de Web3Auth.

Josh Lee, cofundador de Chainapsis, la empresa que desarrolla Keplr, proporcionó detalles adicionales y estimó que aproximadamente el 20% de las cuentas con inicio de sesión social podrían estar afectadas. Sin embargo, subrayó que solo una fracción de las cuentas potencialmente vulnerables parece haber sido explotada, lo que deja abierta la posibilidad de restaurar el acceso a las demás. Lee también aclaró que el incidente no se originó por una vulnerabilidad en el propio código de la aplicación de Keplr.

El sistema de autenticación social de Keplr se basa en la infraestructura de generación distribuida de claves de Web3Auth, un diseño criptográfico que divide el material de las claves entre múltiples partes, de modo que ningún dispositivo o servidor individual posee una clave privada completa. Permite a los usuarios crear wallets de criptomonedas mediante sus cuentas existentes de Google o Apple en lugar de gestionar manualmente las frases de recuperación, un enfoque promovido desde hace tiempo como una forma de facilitar el ingreso a los usuarios nuevos en la autocustodia. La arquitectura de seguridad de la wallet genera las claves privadas a través de Web3Auth y almacena las credenciales cifradas localmente. Sin embargo, la conveniencia de ese diseño vincula la seguridad de la wallet a la infraestructura de un proveedor externo. El mecanismo exacto que permitió las transacciones no autorizadas no ha sido divulgado.

Web3Auth suspende servicios a medida que aumentan las estimaciones de pérdidas

Web3Auth reconoció un incidente de seguridad que afectaba integraciones de terceros el 6 de noviembre y deshabilitó temporalmente su servicio de wallet integrada. Posteriormente, la empresa puso su infraestructura de inicio de sesión en mantenimiento, confirmando que se estaban aplicando medidas de precaución. Web3Auth, que fue adquirida por Consensys, el desarrollador de MetaMask, en 2025, señaló que su investigación inicial no encontró evidencia de que los usuarios de MetaMask hubieran sido afectados.

Mientras tanto, investigadores independientes de la comunidad han rastreado movimientos sospechosos que involucran los tokens ATOM, OSMO e INJ, y algunas estimaciones ya alcanzan varios millones de dólares. Ni Keplr ni Web3Auth han verificado esas cifras ni han divulgado el número de usuarios afectados.

El episodio se suma a una serie de ataques recientes que involucran infraestructura externa de criptomonedas. El 29 de octubre, Polymarket sufrió un exploit de vaciamiento de wallets de 2,7 millones de dólares después de que JavaScript malicioso ingresara a su interfaz de trading a través de un proveedor de monitoreo comprometido. Por separado, BTCPay Server advirtió a los operadores sobre retiros no autorizados de hot wallets vinculados a instalaciones de software vulnerables. En conjunto, los incidentes subrayan cómo los atacantes han dirigido cada vez más sus ataques a la infraestructura de terceros de la que dependen los productos cripto — herramientas de monitoreo, software de pagos, servicios de autenticación — en lugar del código central de las aplicaciones.

Keplr ha instruido a los usuarios que crearon wallets mediante autenticación con Google o Apple que no envíen fondos adicionales a esas cuentas ni las reimporten a otras aplicaciones mientras continúa la investigación. El equipo también ha advertido sobre asistencia de recuperación no solicitada, mensajes de soporte fraudulentos y enlaces sospechosos que afirman restaurar fondos robados; hay más orientación disponible en su centro de ayuda.

No se ha anunciado ningún plan de reembolso ni cronograma para restablecer la funcionalidad de inicio de sesión social. La investigación continúa mientras Keplr y Web3Auth trabajan para identificar las cuentas afectadas, determinar el método de ataque y evaluar posibles opciones de recuperación. Por ahora, los observadores esperan tres cosas que ninguna de las dos empresas ha proporcionado aún: un método de ataque confirmado, cifras de pérdidas verificadas y un cronograma para restablecer los inicios de sesión sociales.

Este artículo apareció originalmente en Crypto Adventure.