ユーザーから不正な暗号資産送金の報告が相次いだことを受け、KeplrウォレットはGoogleおよびAppleのログイン機能を停止しました。初期の推計では、ソーシャル認証で作成されたアカウントの約20%が脆弱である可能性があるとされています。

11月7日に発生したこのインシデントは、Cosmosエコシステム全体のウォレットに影響を及ぼしており、コミュニティの調査者らはInjective、Osmosis、Cosmos Hubに関連する資産の盗難を報告しています。初期の損失推計は70万ドルを超えましたが、その後の独立系の追跡調査では、はるかに大きな流出が示唆されています。Keplrは公式な損失総額を確認していません。

セキュリティ問題の発生源は、Keplrのソーシャルログイン機能を支えるサードパーティ認証プロバイダーWeb3Authです。両社は侵害の調査を進めており、Keplrは影響を受けたユーザーに対し、追加の資産を預け入れたり、ウォレットを再作成したりしないよう警告しています。

共同創業者、ソーシャルログインアカウントの約20%が影響を受けている可能性と指摘

KeplrはXでの公式声明において、GoogleおよびAppleアカウントに関わる不正取引を確認したと発表し、これらのウォレットを、従来型のリカバリーフレーズやハードウェアデバイスで作成されたアカウントと区別しました。同社は予備調査の結果、他のタイプのウォレットがWeb3Authインシデントによって侵害された証拠は見つからなかったと述べています。

Keplrを開発するChainapsisの共同創業者Josh Lee氏が追加の詳細を明らかにし、ソーシャルログインアカウントの約20%が影響を受ける可能性があると推計しました。ただし同氏は、潜在的に脆弱なアカウントのうち実際に悪用されたのは一部にとどまる見込みであり、残りのアカウントへのアクセス回復の可能性は残されていると強調しています。またLee氏は、このインシデントがKeplr自身のアプリケーションコードの脆弱性に起因するものではないことを明確にしました。

Keplrのソーシャル認証システムは、Web3Authの分散型キー生成インフラに依存しています。これは鍵素材を複数の当事者に分割し、単一のデバイスやサーバーが完全な秘密鍵を保持しないようにする暗号設計です。この仕組みにより、ユーザーはリカバリーフレーズを手動で管理することなく、既存のGoogleまたはAppleアカウントから暗号資産ウォレットを作成でき、セルフカストディ初心者のオンボーディングを容易にする手法として長く推進されてきました。ウォレットのセキュリティアーキテクチャはWeb3Authを通じて秘密鍵を生成し、暗号化された認証情報をローカルに保存します。しかし、この設計の利便性は、ウォレットのセキュリティを外部プロバイダーのインフラに結び付ける結果にもなっています。不正取引を可能にした正確なメカニズムは明らかにされていません。

損失推計の拡大を受けWeb3Authがサービスを停止

Web3Authは11月6日、サードパーティ連携に影響するセキュリティインシデントを認め、組み込みウォレットサービスを一時的に無効化しました。同社はその後、ログインインフラをメンテナンス状態に移行し、予防措置が進行中であることを確認しています。2025年にMetaMaskを開発するConsensysに買収されたWeb3Authは、初期調査の結果、MetaMaskユーザーが影響を受けた証拠は見つからなかったと述べています。

一方、独立系のコミュニティ調査者らは、ATOM、OSMO、INJトークンに関わる不審な資産移動を追跡しており、一部の推計では数百万ドル規模に達しています。KeplrとWeb3Authのいずれもこれらの数字を検証しておらず、影響を受けたユーザー数も明らかにしていません。

この一件は、外部の暗号資産インフラに関わる一連の攻撃に続くものです。10月29日には、Polymarketが監視プロバイダーの侵害を通じて取引インターフェースに悪意のあるJavaScriptが侵入し、270万ドルのウォレットドレイン攻撃を受けました。また別の事例として、BTCPay Serverは脆弱なソフトウェアインストールに関連するホットウォレットからの不正引き出しについて運営者に警告を発しました。これらのインシデントを併せて見ると、攻撃者がアプリケーションの中核コードではなく、暗号資産製品が依存するサードパーティインフラ(監視ツール、決済ソフトウェア、認証サービス)をますます標的にしていることが浮き彫りになります。

Keplrは、GoogleまたはApple認証でウォレットを作成したユーザーに対し、調査が続く間、該当アカウントに追加の資産を送金したり、他のアプリケーションに再インポートしたりしないよう指示しています。チームはまた、未承諾のリカバリー支援、偽のサポートメッセージ、盗まれた資金の復元をうたう不審なリンクに警戒するよう呼び掛けており、詳細なガイダンスはヘルプセンターで確認できます。

償還計画やソーシャルログイン機能の復旧日程はまだ発表されていません。KeplrとWeb3Authは、影響を受けたアカウントの特定、攻撃手法の解明、回復オプションの評価を進めており、調査は継続中です。現時点で、関係者は両社がまだ提供していない三点に注目しています。確認された攻撃手法、検証済みの損失額、そしてソーシャルログイン復旧の日程です。

本記事はCrypto Adventureに最初に掲載されました。