L'hack al wallet Keplr ha messo in allerta gli utenti che hanno effettuato l'accesso con Google o Apple. Keplr ha sospeso entrambe le opzioni di social login dopo che transazioni non autorizzate hanno colpito alcuni account, dichiarando al contempo che i wallet creati con una frase di recupero o con un hardware wallet non sono interessati. Web3Auth, il fornitore della tecnologia di login embedded alla base della funzionalità, ha sospeso il proprio servizio come parte della risposta alla violazione, e agli utenti con account colpiti è stato chiesto di non depositare ulteriori asset.

Il primo tracciamento on-chain ha collocato oltre 6 milioni di dollari su diversi indirizzi. Web3Auth ha poi dichiarato che molte delle destinazioni segnalate appartengono alla propria operazione di recupero. Questa precisazione cambia il modo di leggere i flussi on-chain. Non cancella l'attività non autorizzata né stabilisce un totale definitivo delle perdite, e gli utenti devono distinguere i trasferimenti protettivi dai prelievi controllati dall'attaccante.

L'hack al wallet Keplr attiva la sospensione del login Google e Apple

La funzione di social login di Keplr consentiva agli utenti di aprire un account tramite Google o Apple invece di registrare una frase di recupero, con l'infrastruttura Web3Auth che generava e accedeva alle chiavi del wallet. La rifletteva una spinta più ampia nel crypto consumer a ridurre l'attrito delle seed phrase durante l'onboarding, ma collocava la generazione e l'accesso delle chiavi presso un fornitore terzo anziché esclusivamente presso l'utente. Web3Auth ha sospeso per la prima volta il servizio di embedded wallet il 6 novembre e ha posto il proprio Login Service in manutenzione mentre gli investigatori esaminavano l'incidente di sicurezza.

Keplr ha reso noto il giorno successivo che alcuni account con social login presentavano transazioni non autorizzate dai proprietari. L'azienda ha disattivato il login Google e Apple mentre esaminava l'incidente insieme a Web3Auth.

Cosa significa per gli utenti Keplr

Se hai creato il tuo wallet Keplr con una frase di recupero o con un hardware wallet, NON sei interessato.

In risposta alla vulnerabilità dell'infrastruttura di Web3Auth che ha portato alla compromissione delle chiavi private di alcuni utenti Keplr che hanno effettuato l'accesso con Google o Apple, stiamo…

— Keplr Wallet (@keplrwallet) 7 novembre 2026

L'hack riguarda il percorso del social login, non tutti gli account Keplr. L'indicazione di Keplr è diretta: non inviare nuovi asset a un account interessato. Gli utenti dovrebbero spostare eventuali token liquid rimanenti su un wallet separato con frase di recupero o un hardware wallet.

Una compromissione delle chiavi private può esporre all'istante i saldi Cosmos. Nelle reti basate su Cosmos, gli indirizzi su diverse catene condividono spesso la stessa chiave sottostante pur portando prefissi diversi, e questo design può trasformare una singola chiave compromessa in un problema su scala di ecosistema. Spiega anche perché il primo tracciamento ha rilevato attività su Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX e Babylon.

Bitquery traccia almeno 6,01 milioni di dollari verso otto destinazioni

La società di analisi blockchain Bitquery, che ha pubblicato i propri risultati in una pagina d'indagine pubblica, ha tracciato almeno 6,01 milioni di dollari verso otto destinazioni. La società ha registrato 44.041 wallet svuotati su sette catene collegate e ha stimato il numero totale di vittime intorno a 44.700. La sua ricerca non ha incluso nel totale in dollari i token privi di prezzo, e ha registrato una massima perdita individuale di circa 325.000 dollari.

La cifra originale non è un totale confermato e definitivo del furto. Riflette il valore detenuto dagli indirizzi indicati al momento del limite temporale dell'indagine. I wallet di recupero verificati di Web3Auth ora aiutano gli analisti a separare i saldi rubati dagli asset trasferiti durante la risposta whitehat, e questa valutazione può cambiare man mano che le aziende riconciliano le singole transazioni con gli utenti.

L'hack al wallet Keplr solleva domande sui wallet di recupero

Web3Auth ha poi riferito di aver avviato i recuperi whitehat prima che un attaccante potesse raggiungere alcuni wallet vulnerabili, utilizzando lo stesso percorso di accesso per mettere in sicurezza gli asset interessati. Di conseguenza, un saldo che esce da un wallet con social login non dimostra automaticamente un furto.

Cosmos Hub cosmos1atuap9kfnt6y8ykvn3437e7j3z8qffh3qtnmwu

Osmosis osmo1atuap9kfnt6y8ykvn3437e7j3z8qffh3gsqtcw

Celestia celestia1atuap9kfnt6y8ykvn3437e7j3z8qffh33pzt53

Akash akash1atuap9kfnt6y8ykvn3437e7j3z8qffh3ds7uhx

Noble noble1atuap9kfnt6y8ykvn3437e7j3z8qffh3ggxnkj

— Web3Auth (@Web3Auth) 8 novembre 2026

L'8 novembre Web3Auth ha pubblicato le destinazioni verificate per la propria operazione di recupero, e Keplr ha condiviso la stessa lista, dichiarando che gli indirizzi indicati non erano indirizzi malevoli o di exploit. La lista comprendeva destinazioni su otto catene Cosmos, tre ulteriori reti Cosmos e un indirizzo EVM che copre otto catene.

Quei wallet di recupero Web3Auth si sovrappongono agli indirizzi che Bitquery aveva precedentemente associato allo svuotamento, e la sovrapposizione complica la stima principale delle perdite. Web3Auth non ha reso noto il valore messo in sicurezza, e nessuna delle due aziende ha fornito una riconciliazione definitiva delle perdite. Non esistono ancora un processo di restituzione né un postmortem tecnico. Questi punti aperti delineano ora cosa tenere d'occhio: un postmortem tecnico che spieghi come le chiavi private siano state esposte, la divulgazione del valore messo in sicurezza da Web3Auth durante la risposta whitehat e una decisione sul se e come il login Google e Apple torni su Keplr.

Keplr ha dichiarato che alcuni account possono apparire vuoti perché gli asset sono stati spostati durante la mitigazione, e gli asset in staking e bloccati richiedono più tempo per essere messi in sicurezza. Gli utenti non dovrebbero fidarsi dei messaggi diretti, fornire le frasi di recupero o inviare fondi a un presunto indirizzo di salvataggio.

L'hack al wallet Keplr resta un incidente di sicurezza confermato con un conteggio finanziario ancora da definire. La distinzione chiave è ristretta ma importante: Web3Auth definisce alcune destinazioni dei trasferimenti wallet protettivi, mentre l'attività non autorizzata ha colpito gli account con social login. Fino a quando le aziende non pubblicheranno una riconciliazione completa, la ripartizione tra fondi rubati e messi in sicurezza resta poco chiara.