Web3Auth, il fornitore di wallet integrati oggi confluito in MetaMask sotto Consensys, ha temporaneamente sospeso il suo servizio di wallet integrato dopo aver identificato un problema critico di sicurezza. L'azienda afferma che non ci sono prove che gli utenti di MetaMask siano stati coinvolti. Lo stesso non si può dire per tutti coloro che hanno costruito sulla sua infrastruttura: Keplr Wallet, un wallet ampiamente utilizzato nell'ecosistema Cosmos, ha disattivato le opzioni di accesso con Google e Apple in risposta.

La sospensione ha avuto effetto il 6 novembre 2026, alle 21:13 UTC circa. Secondo Web3Auth, l'arresto è stato effettuato per indagare sul potenziale impatto del problema. Le conseguenze hanno colpito più duramente gli integratori di terze parti, primo tra tutti Keplr.

Come il problema si è esteso a Keplr

Keplr si affidava a Web3Auth per i login social, consentendo agli utenti di accedere con account Google e Apple invece di gestire una seed phrase. Keplr ha segnalato transazioni non autorizzate a partire dal 6 novembre circa, la stessa data in cui Web3Auth ha segnalato il suo problema. Dopo aver risalito all'origine del problema in Web3Auth, Keplr ha disattivato le opzioni di accesso con Google e Apple il 7 novembre per limitare ulteriori rischi.

L'esposizione non è stata uniforme sulla base utenti di Keplr. Circa il 20% degli utenti di Keplr che si affidavano ai login social potrebbe essere stato esposto, secondo i dati legati all'incidente. Lo schema indica che l'esposizione era legata al flusso di login social stesso.

I dati di tracciamento blockchain collegati alla violazione mostrano circa 6 milioni di dollari in deflussi, con fondi spostati da oltre 44.000 indirizzi Cosmos e circa 7.600 indirizzi Injective. Web3Auth ha contestato quella cifra di perdita, quindi i 6 milioni di dollari vanno letti come una stima ricavata dai flussi onchain e non come un conteggio confermato dei fondi rubati.

L'azienda ha inoltre avviato misure di recupero, tra cui i cosiddetti trasferimenti white-hat, che spostano gli asset dai wallet vulnerabili verso indirizzi verificati prima che un attaccante possa raggiungerli. L'importo finale assicurato attraverso queste operazioni non è ancora noto.

Non tutti sono stati coinvolti nel raggio d'azione. Trust Wallet e gli account MetaMask standard sono risultati non interessati, e anche gli account Keplr che non utilizzavano il login social sono rimasti intatti.

Perché i wallet con login social sono sotto esame

I wallet integrati con login social sono progettati per risolvere uno dei più antichi problemi di usabilità delle criptovalute: la seed phrase. Il login social consente agli utenti di accedere come farebbero con qualsiasi app mainstream, mentre una terza parte gestisce gran parte della gestione delle chiavi dietro le quinte, così che l'utente non debba farlo.

Molte di queste configurazioni si affidano al multi-party computation (MPC). In termini semplici, l'MPC divide il controllo di una chiave privata tra più parti, quindi nessun singolo frammento è sufficiente da solo per spostare fondi. Sulla carta, questo distribuisce il rischio tra i partecipanti. In pratica, l'incidente evidenzia che questa disposizione introduce anche una dipendenza: se il fornitore che gestisce parte del processo presenta un difetto, ogni applicazione costruita su di esso può ereditare quel difetto.

Cosa significa per wallet, utenti e sviluppatori

Per gli sviluppatori, l'incidente solleva questioni puntuali sul rischio di concentrazione. Quando molti wallet si collegano allo stesso fornitore di wallet integrati, un singolo problema può propagarsi su più ecosistemi contemporaneamente, in questo caso raggiungendo sia gli utenti Cosmos che quelli Injective attraverso un'unica integrazione. La rapida decisione di Keplr di disattivare i login social ha funzionato da freno d'emergenza.

Per MetaMask e Consensys, la rassicurazione che gli utenti di MetaMask non mostrino segni di compromissione avrà un peso significativo per il piano di integrazione in futuro.

Diverse questioni aperte rimangono da monitorare. La prima è il rendiconto finale: se la contestazione di Web3Auth alla cifra di 6 milioni di dollari porterà a un numero sostanzialmente diverso. La seconda è quanta parte del valore esposto i trasferimenti white-hat riusciranno a mettere in sicurezza. La terza è quando, e a quali condizioni, Web3Auth ripristinerà il suo servizio di wallet integrato e Keplr riattiverà i login social.

Fonte: CryptoBriefing