De Keplr wallet-hack heeft gebruikers die inlogden met Google of Apple op scherp gesteld. Keplr pauzeerde beide social-login-opties nadat ongeautoriseerde transacties enkele accounts hadden getroffen, terwijl het stelde dat wallets die met een herstelzin of een hardware wallet waren aangemaakt niet zijn getroffen. Web3Auth, de aanbieder van de embedded login-technologie achter deze functie, schortte zijn dienst op als onderdeel van de beveiligingsrespons, en gebruikers met getroffen accounts kregen het advies geen extra activa te storten.

Vroege blockchain-tracking plaatste meer dan $6 miljoen op verschillende on-chain adressen. Web3Auth zei later dat veel van de gemarkeerde bestemmingen bij zijn eigen hersteloperatie horen. Die verduidelijking verandert hoe de on-chain stromen gelezen moeten worden. Deze wist de ongeautoriseerde activiteit niet weg en stelt geen definitief verliestotaal vast, en gebruikers moeten beschermende transfers onderscheiden van opnames onder controle van de aanvaller.

Keplr Wallet-hack leidt tot pauze van Google- en Apple-login

Met de social-loginfunctie van Keplr konden gebruikers een account openen via Google of Apple in plaats van een herstelzin op te schrijven, waarbij de Web3Auth-infrastructuur de walletsleutels genereerde en gebruikte. Het ontwerp weerspiegelde een bredere inspanning in consumentcrypto om wrijving rondom seed phrases bij onboarding te verminderen, maar het plaatste sleutelgeneratie en -toegang bij een externe aanbieder in plaats van uitsluitend bij de gebruiker. Web3Auth zette zijn embedded-walletdienst op 6 november voor het eerst op pauze en bracht zijn Login Service in onderhoud terwijl onderzoekers het beveiligingsincident beoordeelden.

Keplr maakte een dag later bekend dat sommige social-login-accounts transacties hadden die hun eigenaren niet hadden geautoriseerd. Het bedrijf schakelde de Google- en Apple-login uit terwijl het het incident samen met Web3Auth onderzocht.

What this means for Keplr users

If you created your Keplr wallet with a recovery phrase or a hardware wallet, you are NOT affected.

In response to Web3Auth's infrastructure vulnerability leading to private key breach some Keplr users who signed in with Google or Apple, we are…

— Keplr Wallet (@keplrwallet) 7 november 2026

De hack treft de social-login-route, niet elk Keplr-account. De richtlijn van Keplr is duidelijk: stuur geen nieuwe activa naar een getroffen account. Gebruikers moeten eventuele overgebleven vloeibare tokens verplaatsen naar een aparte wallet met herstelzin of een hardware wallet.

Een lek in privésleutels kan Cosmos-saldi in één keer blootleggen. In op Cosmos gebaseerde netwerken delen adressen op verschillende ketens vaak dezelfde onderliggende sleutel terwijl ze verschillende prefixes dragen, en dat ontwerp kan één gecompromitteerde sleutel omzetten in een probleem voor het hele ecosysteem. Het verklaart ook waarom vroege tracking activiteit vond op Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX en Babylon.

Bitquery spoort ten minste $6,01 miljoen aan naar acht bestemmingen

Het blockchain-analysebedrijf Bitquery, dat zijn bevindingen publiceerde op een openbare onderzoekspagina, spoorde ten minste $6,01 miljoen aan naar acht bestemmingen. Het bedrijf registreerde 44.041 leeggetrokken wallets op zeven gekoppelde ketens en schatte het totale aantal slachtoffers op ongeveer 44.700. Het onderzoek nam tokens zonder prijzen niet op in het dollartotaal, en het registreerde een grootste individuele verlies van circa $325.000.

Het oorspronkelijke cijfer is geen bevestigd, definitief diefstaltotaal. Het weerspiegelt de waarde die de genoemde adressen aanhielden op het moment van de onderzoeksgrens. Geverifieerde Web3Auth-herstelwallets helpen analisten nu gestolen saldi te scheiden van activa die tijdens de whitehat-respons zijn overgedragen, en die beoordeling kan veranderen naarmate de bedrijven individuele transacties met gebruikers afstemmen.

Keplr Wallet-hack roept vragen op over herstelwallets

Web3Auth meldde later dat het whitehat-herstel was gestart voordat een aanvaller enkele kwetsbare wallets kon bereiken, waarbij het dezelfde toegangspad gebruikte om getroffen activa te beveiligen. Daardoor bewijst een saldo dat uit een social-login-wallet beweegt niet automatisch diefstal.

Cosmos Hub cosmos1atuap9kfnt6y8ykvn3437e7j3z8qffh3qtnmwu

Osmosis osmo1atuap9kfnt6y8ykvn3437e7j3z8qffh3gsqtcw

Celestia celestia1atuap9kfnt6y8ykvn3437e7j3z8qffh33pzt53

Akash akash1atuap9kfnt6y8ykvn3437e7j3z8qffh3ds7uhx

Noble noble1atuap9kfnt6y8ykvn3437e7j3z8qffh3ggxnkj

— Web3Auth (@Web3Auth) 8 november 2026

Op 8 november publiceerde Web3Auth geverifieerde bestemmingen voor zijn herstelinspanning, en Keplr bracht dezelfde lijst onder de aandacht met de mededeling dat de genoemde adressen niet kwaadaardige of exploit-adressen waren. De lijst omvatte bestemmingen op acht Cosmos-ketens, drie extra Cosmos-netwerken en een EVM-adres dat acht ketens bestrijkt.

Die Web3Auth-herstelwallets overlappen met adressen die Bitquery eerder aan de leegoppelactie had gekoppeld, en die overlap bemoeilijkt de geschatte verliesomvang. Web3Auth heeft de waarde die het beveiligde niet bekendgemaakt, en geen van beide bedrijven heeft een definitieve verliesreconciliatie geleverd. Er is nog geen terugbetalingsproces of technische analyse. Die open punten bepalen nu waar op gelet moet worden: een technische analyse die uitlegt hoe de privésleutels zijn blootgelegd, openbaarmaking van de waarde die Web3Auth tijdens de whitehat-respons heeft beveiligd, en een beslissing over of en hoe de Google- en Apple-login terugkeert naar Keplr.

Keplr zei dat sommige accounts leeg kunnen lijken omdat activa tijdens de mitigatie zijn verplaatst, en dat gestaked en vergrendelde activa meer tijd nodig hebben om te beveiligen. Gebruikers moeten geen vertrouwen stellen in directe berichten, geen herstelzinnen prijsgeven en geen fondsen sturen naar een beweerde reddingsadres.

De Keplr wallet-hack blijft een bevestigd beveiligingsincident met een onopgeloste financiële afrekening. Het belangrijkste onderscheid is beperkt maar belangrijk: Web3Auth noemt sommige transferbestemmingen beschermende wallets, terwijl ongeautoriseerde activiteit social-login-accounts trof. Tot de bedrijven een volledige reconciliatie publiceren, blijft de verdeling tussen gestolen en beveiligde fondsen onduidelijk.