Bitquery、Google・Appleログインで作成されたKeplrウォレットへの601万ドル窃取事件を追跡

2026年11月6日から7日にかけて、少なくとも601万ドルがKeplrウォレットから流出し、その損失はGoogleまたはAppleのサインインで作成されたアカウントに関連する漏洩した秘密鍵に遡ることが判明した。ブロックチェーン分析企業のBitqueryが資金の流れを追跡し、その調査結果は、ウォレットの従来のシードフレーズ設定ではなく、便利なソーシャルログイン機能が弱点であったことを示している。

この違いは、現在Keplrで資産を保有しているすべての人にとって重要だ。報じられた漏洩はソーシャルログインアカウント、すなわちシードワードのリストを書き留める代わりに「Sign in with Google」や「Sign in with Apple」をタップするアカウントに関わるものである。

資金流出の経緯

Bitqueryの分析では、不正なトランザクションの影響を受けた約44,700の異なるウォレットが特定された。その内訳は、Cosmosエコシステムチェーン上で44,041件、Injective上で7,603件である。

最も大きな被害を受けたのはCosmos Hubで、損失の約350万ドルがこのチェーンだけで発生した。そのうちの一部はステーキング資産に関わるもので、約196万のステークされたATOMが、通常の21日間のアンボンディング期間を経由せずに流出した。この21日間の待機期間はCosmos Hubのステーキングシステムに組み込まれた機能であり、アンステーキング请求後、トークンは通常21日間ロックされてから転送可能になる。

タイミングのデータもさらに問題を示している。Bitqueryは、リンクされたネットワーク上で流出した資金の86%が、Keplrが2026年11月7日に最初の警告を発した後に行われたトランザクションによるものだと突き止めた。平たく言えば、ユーザーがすでに異常を通知された後に資金の大半が流出したのだ。

責任の所在

ウォレット開発元のKeplrは、侵害の原因をWeb3Authのセキュリティ脆弱性によるものとした。Web3Authソーシャルログインフローを管理し、それらのアカウントのウォレット鍵を取り扱うサードパーティサービスである。Web3Authは、自社インフラの脆弱性により一部のサードパーティユーザーの秘密鍵が漏洩したことを確認し、講じた保護措置が攻撃者のトランザクションパターンと一致したと述べた。

Keplrの共同創業者Josh Leeは、侵害がソーシャルログインで作成されたアカウントの推定20%に影響したことを示し、そのうち完全に悪用されたのは一部にとどまると付け加えた。Keplrは直ちにGoogleおよびAppleログインを停止し、影響を受けたアカウントの復旧作業を開始した。

2026年11月8日時点で、KeplrとWeb3Authのいずれも、侵害の正確な技術的原因の開示、損失総額の確定、影響を受けたアカウント数の確認、回収可能な資金額の詳細について公表していない。

ソーシャルログインとリカバリーフレーズは根本的に異なる

暗号資産ウォレットは最終的に秘密鍵によって管理され、その鍵を保有する者は誰でも資金を移動できる。この鍵をバックアップする古典的な方法がリカバリーフレーズで、通常は12語または24語の文字列である。ユーザーはそれを書き留め、安全な場所に保管し、責任は完全にユーザー自身が負う。

ソーシャルログインが存在するのは、リカバリーフレーズが初心者にとって総じて使いにくい体験であるためだ。Web3Authのようなサービスにより、ユーザーは馴染みのあるGoogleまたはAppleアカウントでサインインできる。その代償として、鍵管理が外部インフラに依存することになり、そのインフラに欠陥があれば、管理を支援していた鍵が漏洩する可能性がある。今回、Web3Authが一部のユーザーでそれが起きたとしているのがまさにこのケースだ。

本件で報じられた被害は、GoogleおよびAppleログインで作成されたアカウントに集中している。従来のリカバリーフレーズでKeplrを設定したユーザーは、報じられた鍵漏洩の対象ではなかった。

ユーザーとCosmosエコシステムへの影響

影響を受けたユーザーの最優先事項はシンプルだ。GoogleまたはAppleで作成したKeplrアカウントを持つ人はすべて、潜在的に漏洩しているとみなし、Keplrの復旧ガイダンスに従うべきである。

この事例の幅広さは、インターチェーン全体におけるKeplrの役割も浮き彫りにしている。CosmosエコシステムチェーンとInjectiveの両方に対応する一つのウォレットアプリケーションであり、今回の場合、単一の侵害されたログイン経路が複数のネットワーク上の残高に同時に影響したことを意味する。

警告後の86%という数値は、特に注目すべき詳細だ。損失の大部分がユーザーへの警告後に発生したため、インシデント発生時にウォレットプロバイダーがどれだけ迅速にユーザーへ到達できるかは、修正そのものと同等に重要になり得る。

依然として追跡すべきは未解決の問いである。KeplrとWeb3Authは、正確な技術的原因の説明、最終的な損失総額と影響を受けたアカウント数の確定、ユーザーがどれだけ回収できるかの明示を行う必要がある。Keplrが停止中のGoogleおよびAppleログインを、のような条件で復活させるかも注目すべき展開だ。これらの回答が出るまで、Bitqueryが追跡した601万ドルは最終的な総額ではなく、下限と位置づけられる。

基礎となる分析は、Crypto Briefingがより詳細に報じた。