Web3Authは、暗号資産業界で急速に広まった数字に異議を唱えている。Keplrのソーシャルログインウォレットから601万ドルが盗まれたと報じられた件だ。同社は、問題の資金が攻撃者の手に渡ったのではなく、検証済みの回復ウォレットに移動したため、この見積もりは不正確だったと説明している。

この論争が重要なのは、実際のセキュリティ事故の上に成り立っているからだ。Web3Authのサービスの脆弱性により、GoogleおよびAppleアカウントでサインインしていたKeplrユーザーが被害を受け、これらのウォレットから流出した資金のうち、実際にどれだけが失われたのかが未解決の問題となっている。

Keplrのソーシャルログインウォレットに何が起きたのか

問題は2026年11月6日〜7日に始まった。ソーシャルログインに紐づくKeplrウォレットから資金の流出が始まったのだ。ブロックチェーンデータプロバイダーのBitqueryは、Cosmosエコシステムで影響を受けた44,041超のウォレットと、CosmosベースのチェーンであるInjective上の7,603のウォレットを追跡した。この流出は、CryptoBriefingによる事故の先行報道で指摘されていた。

影響を受けたアカウントは、サインインと鍵管理をWeb3Authのインフラに依存していたものだった。

Web3Authは11月6日にこの脆弱性を確認し、同日、組み込みウォレットサービスを停止した。

Keplrの共同創業者Josh Lee氏は、侵入はWeb3Authのサービスの欠陥に起因し、GoogleおよびAppleログインで作成されたウォレットの約20%に影響したと述べた。従来の方法で作成されたウォレットには侵害の兆候は見られなかった。Keplrによると、リカバリーフレーズまたはハードウェアデバイスで設定されたアカウントは安全だった。

専門家でない方のために説明すると、この仕組みは次のようになっている。ソーシャルログインウォレットでは、12語または24語のシードフレーズ(セルフカストディwalletの唯一のバックアップとして機能するランダムな単語の羅列)を書き留める代わりに、GmailやApple IDで暗号資産アカウントを開設できる。第三者プロバイダー(この場合はWeb3Auth)が背後で鍵管理を担っており、参入障壁は下がるが、プロバイダーのインフラへの信頼が集中することになる。

601万ドルという数字が争われている理由

601万ドルという数字は、事故の期間中に影響を受けたウォレットから流出した資金を合計したものだ。Web3Authの立場は、この集計が誤った取引を巻き込んだというものだ。同社は、盗難とされたオンチェーンの資金移動の一部は、Web3Authとそのパートナーが実施した保護的な「ホワイトハット」回復作業だったと説明している。

混乱の原因は、こうした救出作業がオンチェーン上でどのように見えたかにある。回復作業は初期の攻撃と同じ技術的経路を使用していたため、ブロックチェーンを監視する者には、救出と盗難はほぼ同一に見えた。

11月8日までに、Web3AuthはCosmos系11ネットワークとEVM互換8チェーンを網羅する検証済み回復アドレスのリストを公開した。狙いは、ユーザーとアナリストが回復された資産が同社が管理するウォレットに届いたことを確認できるようにすることだ。このリストは、Web3Authが601万ドルの見積もりを虚偽と呼ぶ際に根拠として挙げているものでもある。資金がそれらのアドレスにあるなら、盗まれたのではない、というのが同社の主張だ。

公式チャネルのみを利用して

Web3AuthとKeplrの両社は、非公式の回復の申し出を無視し、最新情報とガイダンスについては両社自身の公式チャネルのみを頼るようユーザーに呼びかけた。Keplrはまた、影響を受けたアカウントへの新規入金を止め、当面は資産を安全なアカウントに移すよう助言した。

ソーシャルログインウォレットにとっての教訓

ユーザーが自身でリカバリーフレーズやハードウェアデバイスを管理している場合、セキュリティは主に本人の運用にかかっている。一方、プロバイダーが鍵を管理する場合、上流の一つの欠陥が一度に何千ものウォレットに及びうる。リカバリーフレーズベースおよびハードウェアウォレットが無傷で乗り切ったことから、Keplr自身のガイダンスもこの違いを浮き彫りにした。

この数字をめぐる論争は、暗号資産事故がリアルタイムで測定される仕組みの弱点も浮き彫りにした。オンチェーン分析は迅速で透明性が高いが、示すのは資金の移動であって意図ではない。攻撃を模した救出は、より多くの文脈を知る誰かが否定しない限り、攻撃として計数され続ける。

これは両方向に作用する。初期の見積もりは被害を過大にしうる。Web3Authは今回まさにそれが起きたと主張している。しかし、企業自身による事故の説明にも検証が求められる。だからこそ公開された回復アドレスが重要なのだ。外部の人が鵜呑みにするのではなく主張を確認できるようになるからだ。

今後の段階には2つの疑問が残されている。係争中の流出額のうち、最終的にどれだけが公開された回復アドレスと一致するのか、そしてWeb3Authの停止中の組み込みウォレットサービスが、いつ、復旧するのかどうか。いずれも非公式の回復の申し出ではなく、両社の公式チャネルを通じて追跡できる。

本記事はCryptoBriefingのレポートに基づいている。