Keplr Wallet ha sospeso la funzionalità di accesso con Google e Apple dopo che utenti hanno segnalato trasferimenti non autorizzati di criptovalute, con le prime stime che indicano che circa il 20% degli account creati tramite autenticazione social potrebbe essere vulnerabile.

L'incidente del 7 novembre ha interessato wallet in tutto l'ecosistema Cosmos, con investigatori della community che segnalano asset rubati riguardanti Injective, Osmosis e Cosmos Hub. Le stime iniziali delle perdite hanno superato i 700.000 dollari, sebbene successivi tracciamenti indipendenti indichino flussi in uscita sostanzialmente maggiori. Keplr non ha confermato un totale ufficiale delle perdite.

Il problema di sicurezza ha avuto origine da Web3Auth, il provider di autenticazione di terze parti che alimenta la funzionalità di login social di Keplr. Entrambe le società stanno indagando sulla compromissione, e Keplr ha avvisato gli utenti interessati di non depositare ulteriori asset né di tentare di ricreare i propri wallet.

Il co-fondatore stima che il 20% degli account con login social potrebbe essere esposto

Keplr ha confermato le transazioni non autorizzate che coinvolgono account Google e Apple in una dichiarazione ufficiale su X, distinguendo tali wallet dagli account creati tramite frasi di recupero tradizionali o dispositivi hardware. L'azienda ha dichiarato che la sua indagine preliminare non ha trovato prove che questi altri tipi di wallet siano stati compromessi a causa dell'incidente Web3Auth.

Il co-fondatore di Chainapsis Josh Lee, la cui azienda sviluppa Keplr, ha fornito ulteriori dettagli, stimando che circa il 20% degli account con login social potrebbe essere interessato. Ha tuttavia sottolineato che solo una frazione degli account potenzialmente vulnerabili sembra essere stata sfruttata, lasciando aperta la possibilità di ripristinare l'accesso agli altri. Lee ha anche chiarito che l'incidente non derivava da una vulnerabilità nel codice applicativo di Keplr stesso.

Il sistema di autenticazione social di Keplr si affida all'infrastruttura di generazione distribuita delle chiavi di Web3Auth, un design crittografico che divide il materiale delle chiavi tra più parti in modo che nessun singolo dispositivo o server detenga mai una chiave privata completa. Consente agli utenti di creare wallet di criptovalute tramite account Google o Apple esistenti invece di gestire manualmente le frasi di recupero, un approccio da tempo promosso come facilitazione dell'onboarding per gli utenti nuovi al self-custody. L'architettura di sicurezza del wallet genera le chiavi private tramite Web3Auth e memorizza le credenziali crittografate localmente. La comodità di questo design, tuttavia, lega la sicurezza del wallet all'infrastruttura di un provider esterno. Il meccanismo esatto che ha consentito le transazioni non autorizzate non è stato divulgato.

Web3Auth sospende i servizi mentre le stime delle perdite aumentano

Web3Auth ha riconosciuto un incidente di sicurezza che interessava integrazioni di terze parti il 6 novembre e ha temporaneamente disattivato il suo servizio di wallet integrato. La società ha successivamente posto la sua infrastruttura di login in manutenzione, confermando che misure cautelari erano in corso. Web3Auth, acquisita dallo sviluppatore di MetaMask Consensys nel 2025, ha dichiarato che la sua indagine iniziale non ha trovato prove che gli utenti di MetaMask fossero stati colpiti.

Nel frattempo, investigatori indipendenti della community hanno tracciato movimenti sospetti che coinvolgono i token ATOM, OSMO e INJ, con alcune stime che ora raggiungono diversi milioni di dollari. Né Keplr né Web3Auth hanno verificato tali cifre o divulgato il numero di utenti interessati.

L'episodio segue una serie di recenti attacchi che coinvolgono infrastrutture esterne legate alle criptovalute. Il 29 ottobre, Polymarket ha subito un exploit di svuotamento del wallet da 2,7 milioni di dollari dopo che JavaScript malevolo è entrato nella sua interfaccia di trading tramite un provider di monitoraggio compromesso. Separatamente, BTCPay Server ha avvisato gli operatori riguardo prelievi non autorizzati da hot wallet collegati a installazioni software vulnerabili. Letti insieme, gli incidenti evidenziano come gli attaccanti abbiano sempre più preso di mira l'infrastruttura di terze parti da cui dipendono i prodotti crypto — strumenti di monitoraggio, software di pagamento, servizi di autenticazione — anziché il codice centrale delle applicazioni.

Keplr ha istruito gli utenti che hanno creato wallet tramite autenticazione Google o Apple a non inviare ulteriori fondi a tali account né a reimportarli in altre applicazioni mentre l'indagine continua. Il team ha anche messo in guardia contro assistenza al recupero non richiesta, messaggi di supporto fraudolenti e link sospetti che dichiarano di ripristinare fondi rubati, con ulteriori indicazioni disponibili nel suo help center.

Nessun piano di rimborso o tempistica per il ripristino della funzionalità di login social è stato annunciato. L'indagine è in corso mentre Keplr e Web3Auth lavorano per identificare gli account interessati, determinare il metodo d'attacco e valutare le possibili opzioni di recupero. Per ora, gli osservatori attendono tre cose che nessuna delle due aziende ha ancora fornito: un metodo d'attacco confermato, cifre delle perdite verificate e una tempistica per il ripristino dei login social.

Questo articolo è apparso originariamente su Crypto Adventure.