Web3Auth está impugnando una cifra que se difundió rápidamente en los círculos cripto: un presunto robo de $6.01 millones de wallets de inicio de sesión social de Keplr. La compañía afirma que la estimación fue inexacta porque los fondos en cuestión se trasladaron a wallets de recuperación verificadas, no a manos de un atacante.

La disputa importa porque se superpone a un incidente de seguridad real. Una vulnerabilidad en los servicios de Web3Auth afectó a usuarios de Keplr que iniciaban sesión con cuentas de Google y Apple, y la pregunta abierta es cuánto del dinero que salió de esas wallets se ha perdido realmente.

Qué ocurrió con las wallets de inicio de sesión social de Keplr

Los problemas comenzaron entre el 6 y el 7 de noviembre de 2026, cuando los fondos empezaron a drenarse de las wallets de Keplr vinculadas a inicios de sesión social. Bitquery, un proveedor de datos de blockchain, rastreó más de 44,041 wallets afectadas en el ecosistema Cosmos, junto con 7,603 wallets en Injective, una cadena basada en Cosmos. Las salidas fueron señaladas en la cobertura previa de CryptoBriefing sobre el incidente.

Las cuentas afectadas eran aquellas que dependían de la infraestructura de Web3Auth para el inicio de sesión y la gestión de claves.

Web3Auth confirmó la vulnerabilidad el 6 de noviembre y pausó su servicio de wallet integrada el mismo día.

Josh Lee, cofundador de Keplr, dijo que la brecha se originó en un fallo de los servicios de Web3Auth y que afectó aproximadamente al 20% de las wallets creadas mediante inicios de sesión de Google y Apple. Las wallets creadas de manera tradicional no mostraron signos de compromiso. Según Keplr, las cuentas configuradas con frases de recuperación o dispositivos de hardware estaban a salvo.

Para los no especialistas, el esquema funciona así: una wallet de inicio de sesión social permite abrir una cuenta cripto con un Gmail o Apple ID en lugar de anotar una frase semilla de 12 o 24 palabras, una secuencia de palabras aleatorias que sirve como único respaldo de una wallet autocustodiada. Un proveedor externo, Web3Auth en este caso, gestiona las claves de manera tras bambalinas, lo que reduce la barrera de entrada pero concentra la confianza en la infraestructura del proveedor.

Por qué se cuestiona la cifra de $6.01 millones

El número de $6.01 millones provino de la suma de los fondos que salieron de las wallets afectadas durante la ventana del incidente. La postura de Web3Auth es que ese conteo incluyó las transacciones equivocadas. La compañía afirma que algunos movimientos en la cadena etiquetados como robo eran en realidad recuperaciones protectivas de "whitehat" llevadas a cabo por Web3Auth y sus socios.

La confusión surgió por cómo se veían esos rescates en la cadena. Las operaciones de recuperación utilizaron las mismas rutas técnicas que los ataques iniciales, por lo que para cualquiera que observara la blockchain, un rescate y un robo se veían casi idénticos.

Para el 8 de noviembre, Web3Auth había publicado una lista de direcciones de recuperación verificadas que abarca once redes basadas en Cosmos y ocho cadenas compatibles con EVM. El objetivo era permitir que usuarios y analistas confirmaran que los activos recuperados llegaron a wallets que la compañía controla. Esa lista es también a la que apunta Web3Auth al calificar de falsa la estimación de $6.01 millones: si el dinero está en esas direcciones, según el argumento de la compañía, no fue robado.

Solo canales oficiales

Tanto Web3Auth como Keplr indicaron a los usuarios que ignoraran cualquier oferta de recuperación no oficial y que se basaran únicamente en los canales propios de las compañías para actualizaciones y orientación. Keplr también recomendó a los usuarios dejar de depositar fondos nuevos en las cuentas afectadas y trasladar sus activos a cuentas seguras mientras tanto.

Qué significa esto para las wallets de inicio de sesión social

Cuando un usuario posee su propia frase de recuperación o dispositivo de hardware, su seguridad depende principalmente de sus propias prácticas. Cuando un proveedor gestiona las claves, un solo fallo aguas arriba puede alcanzar miles de wallets a la vez. La propia guía de Keplr subrayó esa división, ya que las wallets basadas en frases y las de hardware salieron ilesas del incidente.

La disputa por la cifra también expone una debilidad en cómo se miden los incidentes cripto en tiempo real. Las analíticas en la cadena son rápidas y transparentes, pero muestran movimiento, no intención. Un rescate que imita un ataque se contará como ataque hasta que alguien con más contexto diga lo contrario.

Eso corta en ambos sentidos. Las estimaciones tempranas pueden sobreestimar el daño, como argumenta Web3Auth que ocurrió aquí. Pero el propio recuento de una compañía sobre su incidente también merece escrutinio, y por eso las direcciones de recuperación publicadas importan: permiten que terceros verifiquen la afirmación en lugar de tomarla por fe.

Dos preguntas se ciernen sobre la siguiente fase del incidente: cuánto del flujo de salida en disputa coincidirá finalmente con esas direcciones de recuperación publicadas, y si —y cuándo— el servicio de wallet integrada pausado de Web3Auth volverá a estar en línea. Ambas pueden seguirse a través de los canales oficiales de las compañías y no mediante ofertas de recuperación no oficiales.

Este artículo se basa en el informe de CryptoBriefing.