Bitquery prześledziła kradzież 6,01 mln USD z portfeli Keplr utworzonych przez logowanie Google i Apple

Co najmniej 6,01 mln USD wypłynęło z portfeli Keplr w dniach 6–7 listopada 2026 roku, a straty prowadzą do ujawnionych kluczy prywatnych powiązanych z kontami utworzonymi przez logowanie Google lub Apple. Firma analityki blockchainowej Bitquery prześledziła przepływ środków, a jej ustalenia wskazują na wygodną opcję logowania społecznościowego — a nie tradycyjową konfigurację portfela z frazą seed — jako słaby punkt.

To rozróżnienie ma znaczenie dla każdego, kto obecnie przechowuje aktywa w Keplr. Zgłoszone ujawnienie dotyczy kont z logowaniem społecznościowym — tych, w których użytkownik klika „Zaloguj się przez Google” lub „Zaloguj się przez Apple”, zamiast zapisywać listę słów seed.

Jak przebiegało opróżnianie portfeli

Analiza Bitquery zidentyfikowała około 44 700 różnych portfeli dotkniętych nieautoryzowanymi transakcjami. W podziale wyszczególniono 44 041 portfeli w łańcuchach ekosystemu Cosmos oraz 7 603 na Injective.

Cosmos Hub ucierpiał najbardziej — około 3,5 mln USD strat pochodzi wyłącznie z tego łańcucha. Część tej kwoty dotyczyła aktywów stakingowych: około 1,96 mln zdublowanych ATOM zostało przeniesionych bez standardowego 21-dniowego okresu unbonding. Ten 21-dniowy okres oczekiwania to wbudowany mechanizm systemu stakingowego Cosmos Hub — po żądaniu unstaking tokeny zwykle pozostają zablokowane przez 21 dni, zanim będzie można je przenieść.

Dane o czasie dodały kolejnypokojący wymiar. Bitquery prześledziła, że 86% opróżnionych środków w powiązanych sieciach pochodziło z transakcji, które nastąpiły po wydaniu przez Keplr pierwotnego ostrzeżenia 7 listopada 2026 roku. Mówiąc wprost, większość pieniędzy opuściła portfele, gdy użytkownicy zostali już poinformowani, że coś jest nie tak.

Gdzie kierują się oskarżenia

Keplr, deweloper portfela, przypisał włamanie do luki bezpieczeństwa w Web3Auth — usłudze zewnętrznej, która zarządza procesem logowania społecznościowego i obsługuje klucze portfeli tych kont. Web3Auth potwierdził, że luka w jego infrastrukturze ujawniła klucze prywatne części użytkowników zewnętrznych, i oświadczył, że podjęte środki ochronne pokrywały się ze wzorcami transakcji atakującego.

Współzałożyciel Keplr Josh Lee wskazał, że włamanie dotyczyło szacunkowo 20% kont utworzonych przy użyciu logowania społecznościowego, dodając, że jedynie ułamek z nich został dotychczas w pełni wykorzystany. Keplr natychmiast zawiesił logowanie przez Google i Apple oraz rozpoczął działania naprawcze dla dotkniętych kont.

Na stan z 8 listopada 2026 roku ani Keplr, ani Web3Auth nie ujawniły dokładnej technicznej przyczyny włamania, nie opublikowały precyzyjnej łącznej kwoty strat, nie potwierdziły liczby dotkniętych kont ani nie określiły, ile środków można odzyskać.

Dlaczego logowanie społecznościowe i frazy odzyskiwania to dwie różne rzeczy

Portfel kryptowalutowy jest ostatecznie kontrolowany przez klucz prywatny — kto go posiada, może przenosić środki, kropka. Klasycznym sposobem jego kopii zapasowej jest fraza odzyskiwania, zazwyczaj ciąg 12 lub 24 słów. Użytkownik zapisuje ją, przechowuje w bezpiecznym miejscu i cała odpowiedzialność spoczywa na nim.

Logowanie społecznościowe istnieje, ponieważ frazy odzyskiwania są, szczerze mówiąc, kiepskim doświadczeniem dla nowych użytkowników. Usługi takie jak Web3Auth pozwalają logować się znanymi kontami Google lub Apple. Kosztem jest to, że zarządzanie kluczami opiera się na zewnętrznej infrastrukturze — a gdy ta ma lukę, obsługiwane przez nią klucze mogą zostać ujawnione, co według Web3Auth zdarzyło się w tym przypadku części użytkowników.

Zgłoszone szkody w tym incydencie koncentrują się wokół kont utworzonych przez logowanie Google i Apple. Użytkownicy, którzy skonfigurowali Keplr z tradycyjną frazą odzyskiwania, nie byli przedmiotem zgłoszonego ujawnienia kluczy.

Co to oznacza dla użytkowników i ekosystemu Cosmos

Natychmiast priorytet dla dotkniętych użytkowników jest prosty: każdy, kto ma konto Keplr utworzone przez Google lub Apple, powinien traktować je jako potencjalnie ujawnione i postępować zgodnie z wytycznymi naprawczymi Keplr.

Skala zjawiska podkreśla również rolę Keplr w środowisku międzyłańcuchowym: jedna aplikacja portfela obsługująca łańcuchy ekosystemu Cosmos i Injective oznaczała w tym przypadku, że jedna naruszona ścieżka logowania objęła saldo w wielu sieciach jednocześnie.

Warto się przyjrzeć wskaźnikowi 86% po ostrzeżeniu. Ponieważ duża część strat nastąpiła po powiadomieniu użytkowników, szybkość, z jaką dostawcy portfeli potrafią dotrzeć do użytkowników podczas aktywnego incydentu, może mieć takie samo znaczenie jak sama poprawka.

Pytania bez odpowiedzi pozostają kwestiami do śledzenia. Keplr i Web3Auth muszą jeszcze wyjaśnić dokładną techniczną przyczynę, potwierdzić ostateczną kwotę strat i liczbę dotkniętych kont oraz określić, ile użytkownicy mogą odzyskać. To, czy i na jakich warunkach Keplr przywróci zawieszoną opcję logowania Google i Apple, to kolejny aspekt wart obserwacji. Dopóki tych odpowiedzi nie ma, 6,01 mln USD prześledzone przez Bitquery stanowi dolną granicę, a nie ostateczny bilans.

Źródłową analizę szczegółowo opisał Crypto Briefing.