Web3Auth、セキュリティ問題によりエンベデッドウォレットサービスを一時停止、Keplrがソーシャルログインを無効化
重要ポイント
- •Web3Authは重大なセキュリティ問題を調査するため、2026年11月6日21時13分(UTC)頃にエンベデッドウォレットサービスを一時停止し、MetaMaskユーザーが影響を受けたことを示す証拠はないと報告しています。
- •Keplrウォレットは、不正な取引の発生源がWeb3Authであることを突き止めた後、11月7日にGoogleおよびAppleのサインインオプションを無効化しました。ソーシャルログインユーザーの約20%が影響を受けた可能性があります。
- •ブロックチェーン追跡データは、44,000超のCosmosアドレスおよび約7,600のInjectiveアドレスからの約600万ドルの流出を推定しており、この事件と関連づけられていますが、Web3Authはこの数字に異議を唱えています。
- •Web3Authは、脆弱なウォレットから検証済みアドレスへ資産を移動させるホワイトハット移送を開始していますが、これらの対応で確保された総額はまだ不明です。
- •Trust Wallet、標準的なMetaMaskアカウント、およびソーシャルログインを使用していなかったKeplrアカウントは影響を受けておらず、この事件は複数のウォレットが単一のエンベデッドウォレットプロバイダーに依存することで生じる集中リスクを浮き彫りにしています。
Consensys傘下でMetaMaskに統合されたエンベデッドウォレットプロバイダーのWeb3Authは、重大なセキュリティ問題を特定したため、エンベデッドウォレットサービスを一時的に停止しました。同社は、MetaMaskユーザーが影響を受けたことを示す証拠はないと説明しています。しかし、そのインフラ上に構築されたすべての事業者に同じことが言えるわけではありません。それに対応し、Cosmosエコシステムで広く利用されているウォレットであるKeplrウォレットは、GoogleおよびAppleのサインインオプションを無効化しました。
一時停止は2026年11月6日21時13分(UTC)頃に発効しました。Web3Authによると、この停止は問題の潜在的な影響を調査するために実施されたものです。影響はサードパーティの統合事業者に最も大きく及び、その筆頭がKeplrでした。
事件がKeplrに波及した経緯
KeplrはソーシャルログインにWeb3Authを利用しており、ユーザーはシードフレーズを管理することなく、GoogleやAppleのアカウントでサインインできました。Keplrは11月6日頃から不正な取引が発生したと報告しており、これはWeb3Authが問題を検知したのと同じ日付です。問題の発生源がWeb3Authであることが判明した後、Keplrはさらなるリスクを抑えるため、11月7日にGoogleおよびAppleのログインオプションを無効化しました。
Keplrのユーザーベース全体で影響が及んだわけではありません。この事件に関連する数値によると、ソーシャルログインに依存していたKeplrユーザーの約20%が影響を受けた可能性があるとしています。この傾向は、影響がソーシャルログインのフローそのものに紐づいていたことを示しています。
この侵害に関連するブロックチェーン追跡データでは、約600万ドルの流出が確認されており、資金は44,000超のCosmosアドレスおよび約7,600のInjectiveアドレスから移動しました。Web3Authはこの損失額に異議を唱えているため、600万ドルという数字は、盗まれた資金の確定額ではなく、オンチェーンの資金流動から推定された数値として読むべきです。
同社はまた、「ホワイトハット移送」と呼ばれる復旧措置を開始しています。これは、攻撃者が到達する前に、脆弱なウォレットから検証済みアドレスへ資産を移動させるものです。これらの対応により確保された最終的な金額はまだ不明です。
すべてが影響範囲に含まれていたわけではありません。Trust Walletおよび標準的なMetaMaskアカウントは影響を受けておらず、ソーシャルログインを使用していなかったKeplrアカウントも無事であることが確認されています。
ソーシャルログインウォレットが注視される理由
ソーシャルログイン対応のエンベデッドウォレットは、暗号資産における最も古いユーザビリティの課題の一つであるシードフレーズを解決するために設計されています。ソーシャルログインにより、ユーザーは一般的なアプリと同様にサインインでき、裏側ではサードパーティが鍵管理の大部分を処理するため、ユーザーが自ら管理する必要がありません。
こうした仕組みの多くはマルチパーティ計算(MPC)に依存しています。簡潔に言えば、MPCは秘密鍵の管理を複数の当事者に分割するもので、単独の断片だけでは資金を移動するのに十分ではありません。理論上はリスクを分散できる仕組みです。しかし実際には、この事件が示すように、この仕組みは依存関係ももたらします。プロセスの一部を担うプロバイダーに欠陥がある場合、その上に構築されたすべてのアプリケーションがその欠陥を受け継ぐ可能性があります。
ウォレット、ユーザー、開発者にとっての意味
開発者にとって、この事件は集中リスクに関する厳しい問いを投げかけています。多くのウォレットが同一のエンベデッドウォレットプロバイダーに接続している場合、単一の問題が複数のエコシステムに同時に波及しえます。今回のケースでは、単一の統合を通じてCosmosとInjectiveの両方のユーザーに影響が及びました。Keplrがソーシャルログインを迅速に無効化したことは、いわば緊急ブレーキとして機能しました。
MetaMaskおよびConsensysにとって、MetaMaskユーザーに侵害の兆候が見られないという安心材料は、今後の統合計画において重要な意味を持つでしょう。
注視すべき未解決の疑問がいくつか残っています。第一に、最終的な損失額の確定です。Web3Authによる600万ドルという数字への異議申し立てが、実質的に異なる数字をもたらすかどうか。第二に、ホワイトハット移送によってどれほどの価値が確保できるか。第三に、Web3Authがいつ、どのような条件下でエンベデッドウォレットサービスを復旧させ、Keplrがソーシャルログインを再開するかです。
出典: CryptoBriefing
