Web3Auth respinge una cifra che si è diffusa rapidamente negli ambienti crypto: un presunto furto di 6,01 milioni di dollari dai wallet social-login di Keplr. Secondo l'azienda, la stima era imprecisa perché i fondi in questione sono stati spostati verso wallet di recupero verificati, e non nelle mani di un attaccante.

La contestazione è rilevante perché si colloca sopra un reale incidente di sicurezza. Una vulnerabilità nei servizi di Web3Auth ha colpito gli utenti di Keplr che accedevano con account Google e Apple, e la domanda ancora aperta è quanto dei fondi usciti da quei wallet sia effettivamente andato perso.

Cosa è successo ai wallet social-login di Keplr

I problemi sono iniziati tra il 6 e il 7 novembre 2026, quando i fondi hanno cominciato a drenare dai wallet di Keplr collegati ai login social. Bitquery, un provider di dati blockchain, ha tracciato oltre 44.041 wallet interessati nell'ecosistema Cosmos, oltre a 7.603 wallet su Injective, una chain basata su Cosmos. I deflussi sono stati segnalati nella precedente copertura dell'incidente da parte di CryptoBriefing.

Gli account interessati erano quelli che si affidavano all'infrastruttura di Web3Auth per l'accesso e la gestione delle chiavi.

Web3Auth ha confermato la vulnerabilità il 6 novembre e ha sospeso il proprio servizio di wallet integrato lo stesso giorno.

Il co-fondatore di Keplr Josh Lee ha dichiarato che la violazione derivava da un difetto nei servizi di Web3Auth e ha interessato circa il 20% dei wallet creati tramite accessi Google e Apple. I wallet creati in modo tradizionale non hanno mostrato segni di compromissione. Secondo Keplr, gli account configurati con frasi di recupero o dispositivi hardware erano al sicuro.

Per i non specialisti, l'impostazione funziona così: un wallet social-login consente di aprire un account crypto con un Gmail o un Apple ID invece di scrivere una seed phrase di 12 o 24 parole — una sequenza di parole casuali che funge da unico backup per un wallet self-custody. Un provider terzo, in questo caso Web3Auth, gestisce le chiavi dietro le quinte, il che abbassa la barriera d'ingresso ma concentra la fiducia nell'infrastruttura del provider.

Perché la cifra di 6,01 milioni di dollari è contestata

Il numero di 6,01 milioni di dollari deriva dal totale dei fondi usciti dai wallet interessati durante la finestra dell'incidente. La posizione di Web3Auth è che nel conteggio sono finiti le transazioni sbagliate. Secondo l'azienda, alcuni movimenti on-chain etichettati come furti erano in realtà recuperi protettivi "whitehat" effettuati da Web3Auth e dai suoi partner.

La confusione è nata da come quei salvataggi apparivano on-chain. Le operazioni di recupero utilizzavano le stesse rotte tecniche degli attacchi iniziali, quindi per chiunque osservasse la blockchain un salvataggio e un furto apparivano quasi identici.

Entro l'8 novembre, Web3Auth aveva pubblicato un elenco di indirizzi di recupero verificati che copre undici reti basate su Cosmos e otto chain compatibili EVM. L'obiettivo era permettere a utenti e analisti di confermare che gli asset recuperati fossero finiti in wallet controllati dall'azienda. Quell'elenco è anche ciò a cui Web3Auth fa riferimento quando definisce falsa la stima di 6,01 milioni di dollari: se i fondi si trovano in quegli indirizzi, secondo l'argomentazione dell'azienda, non sono stati rubati.

Solo canali ufficiali

Sia Web3Auth che Keplr hanno detto agli utenti di ignorare eventuali offerte di recupero non ufficiali e di fare affidamento solo sui canali propri delle società per aggiornamenti e indicazioni. Keplr ha inoltre consigliato agli utenti di non depositare nuovi fondi negli account interessati e di spostare nel frattempo gli asset verso account sicuri.

Cosa significa per i wallet social-login

Quando un utente conserva in proprio la frase di recupero o un dispositivo hardware, la sua sicurezza dipende soprattutto dalle proprie pratiche. Quando un provider gestisce le chiavi, un singolo difetto a monte può raggiungere migliaia di wallet contemporaneamente. Le stesse indicazioni di Keplr hanno sottolineato questa divisione, dato che i wallet basati su frase di recupero e quelli hardware hanno attraversato l'incidente illesi.

La contestazione sulla cifra evidenzia anche una debolezza nel modo in cui gli incidenti crypto vengono misurati in tempo reale. Le analisi on-chain sono rapide e trasparenti, ma mostrano movimenti, non intenzioni. Un salvataggio che replica un attacco verrà conteggiato come attacco finché qualcuno con più contesto non affermi il contrario.

Vale in entrambe le direzioni. Le stime iniziali possono sovrastimare i danni, come Web3Auth sostiene sia accaduto in questo caso. Ma anche la contabilità che un'azienda fa del proprio incidente merita scrutinio, ed è per questo che gli indirizzi di recupero pubblicati sono importanti: permettono a soggetti esterni di verificare l'affermazione invece di accettarla sulla fiducia.

Due domande ora pendono sulla fase successiva dell'incidente: quanto del deflusso contestato verrà infine collegato agli indirizzi di recupero pubblicati, e se — e quando — il servizio di wallet integrato sospeso di Web3Auth tornerà online. Entrambe possono essere monitorate tramite i canali ufficiali delle società, anziché attraverso offerte di recupero non ufficiali.

Questo articolo si basa sul report di CryptoBriefing.