Cosmosエコシステムで広く利用されているノンカストディアル暗号資産ウォレットKeplrは、GoogleおよびAppleのソーシャルログインで作成された口座において不正取引が報告されたことを受け、これらのソーシャルログインを停止した。同社はこの問題の原因を、ソーシャルログイン機能を支えるサードパーティプロバイダーWeb3Authにあるとしている。両社は損失総額、根本原因、復旧の見通しをまだ公表していない。

⚠️ALERT: Crypto wallets created with Google or Apple logins are being hit by unauthorized transactions. Keplr, the main wallet of the Cosmos ecosystem, paused both login options after users reported the thefts. The incident originated at Web3Auth, the login service owned by… pic.twitter.com/wYn5BFaxCg
— Coin Bureau (@coinbureau) November 7, 2026

https://x.com/coinbureau/status/2119097550808764482?ref_src=twsrc%5Etfw

Keplrによると、リカバリーフレーズまたはハードウェアウォレットで設定されたウォレットは影響を受けていない。ノンカストディアルウォレットでは、取引を承認する秘密鍵をユーザー自身が管理する。Keplrが最も広く利用されているCosmosは、IBCと呼ばれるプロトコルを通じて相互に通信する独立したブロックチェーンのネットワークである。

事故の経緯

今回の事故は、X上での一連の公表を通じて明らかになった。Web3Authは2026年11月6日21時13分（UTC）頃の投稿でこの問題を最初に通知し、一部のサードパーティが利用するサービスにセキュリティ問題が影響していると説明した。同社は同時に、別途ウォレット拡張機能なしでアプリ内でサインインおよび取引を可能にする組み込みウォレットサービスを一時停止した。このサービスはKeplr専用ではなくサードパーティのアプリに組み込まれているため、停止の影響はKeplrのログインオプションにとどまらない。

Web3Authによると、初期の調査ではMetaMaskユーザーに被害が及んだ証拠は確認されなかったという。同社のステータスページでは、セキュリティ事故のためLogin Serviceがメンテナンス中と表示されており、確認できた詳細は順次共有するとしている。

Keplrは11月7日4時38分（UTC）頃に独自の声明を発表した。それによると、GoogleまたはAppleログインで作成された一部の口座で不正取引の報告を受け、それらの報告をWeb3Authに伝え、以降はWeb3Authチームと連携しているという。

Keplrを開発するChainapsisの共同創業者Josh Lee氏は、8時29分（UTC）頃に初期の調査結果を共有した。同氏は、この事故はKeplr自身のコードへのハッキングではなくWeb3Authで発生したとし、リカバリーフレーズおよびハードウェアウォレットの口座は安全なままであると述べた。

リスクがある口座

Lee氏によると、問題はGoogleおよびAppleログインの口座の一部に限定的に発生しているとみられる。初期の推計ではその割合は約20%とされる。同氏は、これらの口座のうち完全に不正利用されたのは一部にとどまり、残りはまだ復旧できる可能性があると説明した。

ソーシャルログインは、既存のGoogleまたはAppleアカウントを使ってウォレットを作成できる機能で、任意のデバイスでウォレットを復元できる単語リストであるリカバリーフレーズの代わりとなる。Keplrのサポートページによると、Googleログインの鍵はWeb3Authから分散型鍵生成によって提供されており、これは鍵の作成を複数の当事者に分割する仕組みである。この機能は、新規ユーザーが既に持っている認証情報でウォレットを作成できるようにするなど、オンボーディングの摩擦を減らすことを目的としているが、その一方で口座のセキュリティをログインプロバイダーのインフラに依存させるため、プロバイダー側の問題が同じログインフローを利用するすべてのアプリに影響を及ぼしうる。

Keplrは、影響を受けている可能性のある口座の保有者に対し、新たな資金の送金を控えること、また別のウォレットやアプリでそれらの口座を再インポートまたは再作成しないよう要請した。同社は、最新情報はKeplrの公式Xアカウントのみを信頼し、復旧支援を装うダイレクトメッセージやリンクは無視するようユーザーに呼びかけている。ウォレット事故の後、詐欺師がサポート担当者を装ってリカバリーフレーズを盗もうとするケースは少なくない。ハードウェアウォレットメーカーのNGRAVEも、最近のフィッシング攻撃を受けて同様の注意喚起を行った。

Keplrは、影響を受けた口座の追跡と資金の回収に向けてWeb3AuthおよびMetaMaskと連携している。MetaMaskを運営するソフトウェア企業Consensysは2025年6月2日にWeb3Authを買収した。Lee氏は、ソーシャルログインのユーザーの多くが暗号資産初心者であるため、状況は特に困難だとしている。

依然として不明な点

両社はいずれも、影響を受けた口座数や関係する資産の価値を公表していない。被害を受けたチェーンやトークンの特定、根本原因の解明、修正の時期についても明らかにされていない。20%という数字は初期の推計であり、確定した数値ではない。

X上では、Keplrの説明の範囲を超えた損失、古い口座やステーキング資産への被害を主張するユーザーもいる。これらの主張は公式なものではなく、The Crypto Timesは検証できておらず、Keplrの評価の一部と矛盾している。

今週はこれ以前にも、ウォレットに関するセキュリティ警告が相次いだ。BTCPay Serverはホットウォレットからの資金流出の報告を受け、ユーザーにインスタンスの停止を呼びかけた。またCertiKは、DarkSwordと呼ばれるiOSのエクスプロイトがアップデートされていないiPhone上の暗号資産ウォレットを標的としうると警告した。

11月7日11時30分（UTC）時点で、Web3Authの組み込みウォレットサービスは依然として停止中であり、KeplrもGoogleまたはAppleログインを復旧していなかった。両社は、確認された詳細が分かり次第共有するとしている。今後の展開の焦点は、確定した根本原因の特定、影響を受けた口座と損失の確認された数値、停止中のログイン方法の復旧という3つの未解決事項にかかっている。