Web3Auth, el proveedor de billeteras integradas que ahora forma parte de MetaMask bajo Consensys, pausó temporalmente su servicio de billetera integrada tras identificar un problema crítico de seguridad. La empresa afirma que no hay evidencia de que los usuarios de MetaMask hayan sido afectados. Lo mismo no puede decirse de todos los que construyeron sobre su infraestructura: Keplr Wallet, una billetera muy utilizada en el ecosistema Cosmos, ha desactivado sus opciones de inicio de sesión con Google y Apple en respuesta.

La pausa entró en vigor el 6 de noviembre de 2026, aproximadamente a las 21:13 UTC. Según Web3Auth, el apagón se llevó a cabo para investigar el posible impacto del problema. Las consecuencias golpearon con más fuerza a los integradores de terceros, siendo Keplr el principal de ellos.

Cómo se extendió el problema a Keplr

Keplr dependía de Web3Auth para habilitar inicios de sesión sociales, lo que permitía a los usuarios acceder con cuentas de Google y Apple en lugar de gestionar una frase semilla. Keplr reportó transacciones no autorizadas a partir del 6 de noviembre, la misma fecha en que Web3Auth señaló su problema. Tras rastrear el origen hasta Web3Auth, Keplr desactivó sus opciones de inicio de sesión con Google y Apple el 7 de noviembre para limitar el riesgo adicional.

La exposición no fue uniforme entre la base de usuarios de Keplr. Aproximadamente el 20% de los usuarios de Keplr que dependían de inicios de sesión sociales podría haber sido afectado, según cifras vinculadas al incidente. El patrón indica que la exposición estaba ligada al flujo de inicio de sesión social en sí.

Los datos de seguimiento en cadena vinculados a la brecha muestran aproximadamente 6 millones de dólares en salidas, con fondos que se movieron desde más de 44,000 direcciones de Cosmos y unas 7,600 direcciones de Injective. Web3Auth ha cuestionado esa cifra de pérdidas, por lo que los 6 millones de dólares deben leerse como una estimación basada en flujos en cadena y no como un recuento confirmado de fondos robados.

La empresa también ha iniciado medidas de recuperación, incluidas las llamadas transferencias white-hat, que mueven activos fuera de billeteras vulnerables hacia direcciones verificadas antes de que un atacante pueda llegar a ellos. El monto final asegurado mediante estas operaciones aún no se conoce.

No todos quedaron atrapados en el radio de impacto. Se confirmó que Trust Wallet y las cuentas estándar de MetaMask no fueron afectadas, y las cuentas de Keplr que no usaban inicio de sesión social tampoco sufrieron daños.

Por qué las billeteras con inicio de sesión social están bajo escrutinio

Las billeteras integradas con inicio de sesión social están diseñadas para resolver uno de los problemas de usabilidad más antiguos de las criptomonedas: la frase semilla. El inicio de sesión social permite a los usuarios acceder como lo harían con cualquier aplicación convencional, mientras que un tercero gestiona gran parte del manejo de claves en segundo plano para que el usuario nunca tenga que hacerlo.

Muchas de estas configuraciones dependen del cómputo multipartito (MPC). En términos simples, MPC divide el control de una clave privada entre varias partes, de modo que ninguna pieza por sí sola sea suficiente para mover fondos. En teoría, eso distribuye el riesgo entre los participantes. En la práctica, el incidente destaca que este esquema también introduce una dependencia: si el proveedor que maneja parte del proceso tiene una falla, cada aplicación construida sobre él puede heredar esa falla.

Qué significa esto para billeteras, usuarios y desarrolladores

Para los desarrolladores, el incidente plantea preguntas difíciles sobre el riesgo de concentración. Cuando muchas billeteras se conectan al mismo proveedor de billeteras integradas, un solo problema puede extenderse a varios ecosistemas a la vez, en este caso alcanzando tanto a usuarios de Cosmos como de Injective a través de una única integración. La rápida decisión de Keplr de desactivar los inicios de sesión sociales funcionó como el freno de emergencia.

Para MetaMask y Consensys, la garantía de que los usuarios de MetaMask no muestran señales de compromiso tendrá un peso significativo para el plan de integración de aquí en adelante.

Varias preguntas abiertas siguen siendo dignas de seguimiento. La primera es el cálculo final: si la disputa de Web3Auth sobre la cifra de 6 millones de dólares arroja un número materialmente diferente. La segunda es cuánto del valor expuesto logran asegurar las transferencias white-hat. La tercera es cuándo, y bajo qué condiciones, Web3Auth restablece su servicio de billetera integrada y Keplr reactiva los inicios de sesión sociales.

Fuente: CryptoBriefing