Keplr, portfel kryptowalutowy bez powierzenia kluczy szeroko używany w ekosystemie Cosmos, zawiesił logowanie społecznościowe przez Google i Apple po zgłoszeniach przez użytkowników nieautoryzowanych transakcji na kontach utworzonych tymi metodami. Firma wiąże problem z Web3Auth, zewnętrznym dostawcą obsługującym funkcję logowania społecznościowego. Żadna z firm nie ujawniła łącznych strat, przyczyny źródłowej ani harmonogramu naprawy.

⚠️ALERT: Crypto wallets created with Google or Apple logins are being hit by unauthorized transactions. Keplr, the main wallet of the Cosmos ecosystem, paused both login options after users reported the thefts. The incident originated at Web3Auth, the login service owned by… pic.twitter.com/wYn5BFaxCg
— Coin Bureau (@coinbureau) November 7, 2026

https://x.com/coinbureau/status/2119097550808764482?ref_src=twsrc%5Etfw

Keplr informuje, że portfely skonfigurowane za pomocą frazy odzyskiwania lub portfela sprzętowego nie zostały objęte incydentem. W portfelu bez powierzenia kluczy to użytkownicy przechowują klucze prywatne zatwierdzające transakcje. Cosmos, ekosystem, w którym Keplr jest najczęściej używany, to sieć niezależnych blockchainów komunikujących się ze sobą za pośrednictwem protokołu IBC.

Jak przebiegł incydent

Incydent rozwinął się poprzez serię publicznych oświadczeń na X. Web3Auth po raz pierwszy zasygnalizował problem w poście około godziny 21:13 UTC 6 listopada 2026 roku, informując, że problem bezpieczeństwa dotyczy usług używanych przez niektóre firmy trzecie. Firma jednocześnie wstrzymała usługę portfela wbudowanego, która pozwala użytkownikom logować się i wykonywać transakcje wewnątrz aplikacji bez osobnego rozszerzenia portfela. Ponieważ usługa ta jest wbudowana w aplikacje firm trzecich, a nie używana wyłącznie przez Keplr, wstrzymanie wykracza poza opcje logowania samego Keplr.

Według Web3Auth wstępny przegląd nie wykazał dowodów na to, że ucierpieli użytkownicy MetaMask. Strona statusu firmy wykazuje Login Service jako niedostępny z powodu incydentu bezpieczeństwa, a firma oświadczyła, że przekaże potwierdzone szczegóły, gdy tylko będą dostępne.

Keplr opublikował własne oświadczenie około godziny 04:38 UTC 7 listopada. Portfel poinformował, że otrzymał zgłoszenia nieautoryzowanych transakcji na niektórych kontach utworzonych przez logowanie Google lub Apple, przekazał te zgłoszenia do Web3Auth i od tego czasu współpracuje z zespołem Web3Auth.

Josh Lee, współzałożyciel Chainapsis, firmy stojącej za Keplr, przedstawił wstępne ustalenia około godziny 08:29 UTC. Stwierdził, że incydent nie był atakiem na kod samego Keplr i rozpoczął się w Web3Auth, dodając, że konta zabezpieczone frazą odzyskiwania lub portfelem sprzętowym pozostają bezpieczne.

Które konta są zagrożone

Lee stwierdził, że problem wydaje się dotyczyć niektórych, ale nie wszystkich, kont z logowaniem Google lub Apple. Wstępne szacunki wskazują na około 20%. Tylko część tych kont została dotychczas, jak się wydaje, w pełni wykorzystana, a pozostałe mogą jeszcze podlegać odzyskaniu.

Logowanie społecznościowe pozwala użytkownikom utworzyć portfel przy użyciu istniejącego konta Google lub Apple, zastępując frazę odzyskiwania — listę słów pozwalających odtworzyć portfel na dowolnym urządzeniu. Strony wsparcia Keplr informują, że klucze logowania Google pochodzą od Web3Auth poprzez rozproszoną generację kluczy, proces dzielący tworzenie klucza pomiędzy kilka stron. Funkcja ta ma ograniczać bariery wejścia — pozwalając nowym użytkownikom utworzyć portfel przy użyciu posiadanych już poświadczeń — ale wiąże również bezpieczeństwo konta z infrastrukturą dostawcy logowania, więc problem u dostawcy może dotknąć każdą aplikację opartą na tym samym procesie logowania.

Keplr zaapelował do posiadaczy potencjalnie zagrożonych kont, aby przestali wysyłać na nie nowe środki i nie importowali ponownie ani nie odtwarzali tych kont w innym portfelu lub aplikacji. Firma poinformowała, że użytkownicy powinni ufować wyłącznie aktualizacjom z oficjalnego konta Keplr na X oraz ignorować wiadomości prywatne i linki oferujące pomoc w odzyskiwaniu. Oszuści po incydentach portfelowych często podszywają się pod pracowników wsparcia, aby wyłudzić frazy odzyskiwania. Podobne zalecenia po niedawnym ataku phishingowym przekazał producent portfeli sprzętowych NGRAVE.

Keplr współpracuje z Web3Auth i MetaMask w celu śledzenia dotkniętych kont i próby odzyskania środków. Consensys, firma stojąca za MetaMask, kupiła Web3Auth 2 czerwca 2025 roku. Lee stwierdził, że sytuacja jest szczególnie trudna, ponieważ wielu użytkowników logowania społecznościowego jest nowymi osobami w kryptowalutach.

Czego nadal nie wiadomo

Żadna z firm nie opublikowała liczby dotkniętych kont ani wartości zaangażowanych aktywów. Nie wskazano dotkniętych sieci ani tokenów, nie ustalono przyczyny źródłowej ani nie podano daty naprawy. Wartość 20% to wstępne szacunki, a nie potwierdzona liczba.

Niektórzy użytkownicy na X twierdzą, że straty wykraczają poza zakres podany przez Keplr, w tym starsze konta i aktywa stakowane. Twierdzenia te są nieoficjalne, The Crypto Times nie było w stanie ich zweryfikować, a częściowo są sprzeczne z oceną Keplr.

Wcześniej w tygodniu pojawiły się inne ostrzeżenia dotyczące bezpieczeństwa portfeli. BTCPay Server zalecił użytkownikom wyłączenie swoich instancji po zgłoszeniach opróżniania portfeli hot, a CertiK ostrzegł, że exploit DarkSword na iOS może atakować portfele kryptowalutowe na niezaktualizowanych iPhone'ach.

Na stan około godziny 11:30 UTC 7 listopada usługa portfela wbudowanego Web3Auth nadal była wstrzymana, a Keplr nie przywrócił logowania Google ani Apple. Obie firmy oświadczyły, że przekażą zweryfikowane szczegóły, gdy tylko będą dostępne. Dalszy rozwój wydarzeń zależy od trzech otwartych kwestii: potwierdzonej przyczyny źródłowej, zweryfikowanych danych dotyczących dotkniętych kont i strat oraz przywrócenia zawieszonych metod logowania.