Bitquery fa risalire il furto di 6,01 milioni di dollari ai wallet Keplr creati con accessi Google e Apple

Almeno 6,01 milioni di dollari sono stati prelevati dai wallet Keplr tra il 6 e il 7 novembre 2026, con perdite riconducibili a chiavi private esposte legate ad account creati tramite accessi Google o Apple. La società di analisi blockchain Bitquery ha seguito il flusso dei fondi, e i suoi risultati indicano nella comoda opzione di accesso social — e non nella tradizionale configurazione con seed phrase del wallet — l'anello debole.

Questa distinzione è rilevante per chiunque detenga attualmente asset su Keplr. L'esposizione segnalata riguarda gli account con accesso social, ovvero quelli in cui l'utente tocca "Sign in with Google" o "Sign in with Apple" invece di annotare una lista di seed word.

Come si è svolto il drenaggio

L'analisi di Bitquery ha identificato circa 44.700 wallet distinti toccati da transazioni non autorizzate. Il dettaglio conta 44.041 wallet sulle catene dell'ecosistema Cosmos e 7.603 su Injective.

Il Cosmos Hub ha subito il colpo più pesante, con circa 3,5 milioni di dollari di perdite provenienti da quella sola catena. Una parte di tale cifra riguardava asset in staking: circa 1,96 milioni di ATOM in staking sono stati trasferiti senza attraversare il consueto periodo di unbonding di 21 giorni. Tale attesa di 21 giorni è una caratteristica integrata del sistema di staking del Cosmos Hub — dopo una richiesta di unstaking, i token rimangono normalmente bloccati per 21 giorni prima di poter essere trasferiti.

I dati relativi ai tempi hanno aggiunto un altro livello preoccupante. Bitquery ha fatto risalire l'86% dei fondi drenati sulle reti collegate a transazioni avvenute dopo che Keplr aveva emesso il suo primo avviso il 7 novembre 2026. In parole semplici, la maggior parte del denaro è uscita dopo che agli utenti era già stato segnalato che qualcosa non andava.

Dove si sta concentrando la responsabilità

Keplr, lo sviluppatore del wallet, ha attribuito la violazione a una vulnerabilità di sicurezza in Web3Auth, il servizio di terze parti che gestisce il flusso di accesso social e le chiavi dei wallet per quegli account. Web3Auth ha confermato che una vulnerabilità nella propria infrastruttura ha esposto le chiavi private di alcuni utenti di terze parti, e ha dichiarato che le misure protettive adottate sono coincise con i pattern di transazione dell'attaccante.

Il co-fondatore di Keplr Josh Lee ha indicato che la violazione ha interessato circa il 20% degli account creati tramite accessi social, aggiungendo che solo una frazione di questi è stata finora pienamente sfruttata. Keplr ha sospeso immediatamente gli accessi con Google e Apple e ha avviato le operazioni di recupero per gli account interessati.

All'8 novembre 2026, né Keplr né Web3Auth avevano reso nota la causa tecnica esatta della violazione, né pubblicato un totale preciso delle perdite,mato il numero di account coinvolti o dettagliato quanto denaro sia recuperabile.

Perché accessi social e frasi di recupero sono cose diverse

Un wallet crypto è in ultima analisi controllato da una chiave privata, e chiunque possieda quella chiave può spostare i fondi. Il modo classico per salvaguardare la chiave è la frase di recupero, di solito una stringa di 12 o 24 parole. L'utente la scrive, la conserva in un luogo sicuro e la responsabilità ricade interamente su di lui.

Gli accessi social esistono perché le frasi di recupero sono, a dir poco, un'esperienza utente scadente per i neofiti. Servizi come Web3Auth consentono invece di accedere con i familiari account Google o Apple. La contropartita è che la gestione delle chiavi si appoggia a un'infrastruttura esterna, e quando quell'infrastruttura presenta un difetto, le chiavi che contribuisce a gestire possono essere esposte — ed è ciò che, secondo Web3Auth, è successo ad alcuni utenti in questo caso.

I danni segnalati in questo incidente si concentrano sugli account creati tramite accessi Google e Apple. Gli utenti che avevano configurato Keplr con una tradizionale frase di recupero non erano al centro dell'esposizione di chiavi riportata.

Cosa significa per gli utenti e per l'ecosistema Cosmos

La priorità immediata per gli utenti coinvolti è semplice: chiunque possieda un account Keplr creato tramite Google o Apple dovrebbe considerarlo potenzialmente esposto e seguire le indicazioni di recupero di Keplr.

L'ampiezza del fenomeno sottolinea anche il ruolo di Keplr nell'interchain: una sola applicazione wallet al servizio delle catene dell'ecosistema Cosmos e di Injective, il che in questo caso ha significato che un singolo percorso di accesso compromesso ha toccato contemporaneamente i saldi su più reti.

La percentuale dell'86% successiva all'avviso è il dato su cui riflettere. Poiché una quota rilevante delle perdite si è verificata dopo che gli utenti erano stati allertati, la rapidità con cui i fornitori di wallet riescono a raggiungere i propri utenti durante un incidente in corso può contare quanto la stessa soluzione tecnica.

Le domande aperte restano quelle da monitorare. Keplr e Web3Auth devono ancora spiegare la causa tecnica esatta, confermare il totale finale delle perdite e il numero di account interessati, e chiarire quanto gli utenti possano aspettarsi di recuperare. Se e a quali condizioni Keplr ripristinerà l'opzione di accesso con Google e Apple è un altro sviluppo da seguire. Fintanto che queste risposte non arrivano, i 6,01 milioni di dollari tracciati da Bitquery rappresentano un limite minimo rather che un conteggio definitivo.

L'analisi originale è stata riportata in maggiore dettaglio da Crypto Briefing.