Atak na portfel Keplr wyprowadził z równowagi użytkowników logujących się przez Google lub Apple. Keplr wstrzymał obie opcje logowania społecznościowego po tym, jak nieautoryzowane transakcje dotknęły część kont, jednocześnie informując, że portfele utworzone z frazą odzyskiwania lub portfelem sprzętowym nie zostały naruszone. Web3Auth, dostawca technologii wbudowanego logowania stojącej za tą funkcją, zawiesił swoją usługę w ramach reakcji na incydent bezpieczeństwa, a użytkownikom z dotkniętymi kontami zalecono nie wpłacać dodatkowych środków.

Wczesne śledzenie na blockchainie wykazało ponad 6 milionów dolarów na kilku adresach on-chain. Web3Auth później poinformował, że wiele oznaczonych adresów należy do jego własnej operacji odzyskiwania. To wyjaśnienie zmienia sposób interpretacji przepływów on-chain. Nie przekreśla ono nieautoryzowanej aktywności ani nie ustala ostatecznej sumy strat, a użytkownicy muszą odróżniać transfer ochronne od wypłat kontrolowanych przez atakującego.

Atak na portfel Keplr wywołuje wstrzymanie logowania Google i Apple

Funkcja logowania społecznościowego Keplr pozwalała użytkownikom otwierać konto przez Google lub Apple zamiast zapisywać frazę odzyskiwania, przy czym infrastruktura Web3Auth generowała klucze portfela i uzyskiwała do nich dostęp. Ten projekt odzwierciedlał szerszy trend w krypto konsumenckim polegający na redukowaniu barier frazy seed przy rejestracji, ale umieszczał generowanie i dostęp do kluczy u zewnętrznego dostawcy, a nie wyłącznie u użytkownika. Web3Auth najpierw wstrzymał usługę wbudowanych portfeli 6 listopada i przeniósł Login Service do trybu konserwacji, podczas gdy śledczy analizowali incydent bezpieczeństwa.

Keplr ujawnił następnego dnia, że na części kont z logowaniem społecznościowym pojawiły się transakcje nieautoryzowane przez ich właścicieli. Firma wyłączyła logowanie Google i Apple, badając incydent wspólnie z Web3Auth.

Co to oznacza dla użytkowników Keplr

Jeśli utworzyłeś portfel Keplr z frazą odzyskiwania lub portfelem sprzętowym, NIE JESTEŚ dotknięty.

W odpowiedzi na lukę w infrastrukturze Web3Auth prowadzącą do naruszenia kluczy prywatnych u części użytkowników Keplr, którzy logowali się przez Google lub Apple,…

— Keplr Wallet (@keplrwallet) 7 listopada 2026

Atak dotyczy ścieżki logowania społecznościowego, a nie każdego konta Keplr. Wytyczne Keplr są jasne: nie wysyłaj nowych środków na dotknięte konto. Użytkownicy powinni przenieść pozostałe płynne tokeny do osobnego portfela z frazą odzyskiwania lub portfela sprzętowego.

Naruszenie klucza prywatnego może natychmiast ujawnić salda w sieciach Cosmos. W sieciach opartych na Cosmos adresy na różnych łańcuchach często współdzielą ten sam klucz podstawowy, różniąc się jedynie prefiksami, i taka konstrukcja może przekształcić jeden skompromitowany klucz w problem dla całego ekosystemu. To także wyjaśnia, dlaczego wczesne śledzenie wykazało aktywność na Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX i Babylon.

Bitquery wyśledzi co najmniej 6,01 mln dolarów na osiem adresów

Firma analityczna Bitquery, która opublikowała swoje ustalenia na publicznej stronie śledztwa, wyśledziła co najmniej 6,01 mln dolarów na osiem adresów. Firma zarejestrowała 44 041 opróżnionych portfeli na siedmiu powiązanych łańcuchach i oszacowała łączną liczbę poszkodowanych na około 44 700. Jej badania nie uwzględniały tokenów bez wyceny w sumie dolarowej, a największą pojedynczą stratę oszacowała na około 325 000 dolarów.

Pierwotna kwota nie jest potwierdzoną, ostateczną sumą kradzieży. Odzwierciedla ona wartość przechowywaną przez wskazane adresy w momencie zamknięcia śledztwa. Zweryfikowane portfele odzyskowe Web3Auth pomagają obecnie analitykom oddzielić skradzione salda od środków przeniesionych w ramach reakcji whitehat, a ta ocena może się zmienić, gdy firmy uzgodnią poszczególne transakcje z użytkownikami.

Atak na portfel Keplr budzi pytania o portfele odzyskowe

Web3Auth później poinformował, że rozpoczął odzyskiwanie whitehat, zanim atakujący zdołał dotrzeć do części podatnych portfeli, używając tej samej ścieżki dostępu do zabezpieczenia dotkniętych środków. W rezultacie przepływ środków z portfela z logowaniem społecznościowym nie dowodzi automatycznie kradzieży.

Cosmos Hub cosmos1atuap9kfnt6y8ykvn3437e7j3z8qffh3qtnmwu

Osmosis osmo1atuap9kfnt6y8ykvn3437e7j3z8qffh3gsqtcw

Celestia celestia1atuap9kfnt6y8ykvn3437e7j3z8qffh33pzt53

Akash akash1atuap9kfnt6y8ykvn3437e7j3z8qffh3ds7uhx

Noble noble1atuap9kfnt6y8ykvn3437e7j3z8qffh3ggxnkj

— Web3Auth (@Web3Auth) 8 listopada 2026

8 listopada Web3Auth opublikował zweryfikowane adresy docelowe swojej operacji odzyskiwania, a Keplr przekazał tę samą listę, wskazując, że wymienione adresy nie są złośliwe ani wykorzystywane do exploitacji. Lista obejmowała adresy w ośmiu łańcuchach Cosmos, trzech dodatkowych sieciach Cosmos oraz adres EVM obejmujący osiem łańcuchów.

Portfele odzyskowe Web3Auth pokrywają się z adresami, które Bitquery wcześniej powiązał z opróżnieniem środków, a to pokrycie komplikuje szacowaną stratę. Web3Auth nie ujawnił wartości zabezpieczonych środków, a żadna z firm nie przedstawiła ostatecznej rekonsyliacji strat. Nie ma jeszcze procesu zwrotu ani technicznego raportu powykonawczego. Te otwarte kwestie wyznaczają obecnie, czego obserwować: technicznego raportu wyjaśniającego, w jaki sposób ujawniono klucze prywatne, ujawnienia wartości zabezpieczonej przez Web3Auth w ramach reakcji whitehat oraz decyzji, czy i w jaki sposób logowanie Google i Apple powróci do Keplr.

Keplr poinformował, że niektóre konta mogą wyglądać na puste, ponieważ środki zostały przeniesione w trakcie działań zaradczych, a aktywa stakowane i zablokowane wymagają więcej czasu na zabezpieczenie. Użytkownicy nie powinni ufać wiadomościom prywatnym, ujawniać fraz odzyskiwania ani wysyłać środków na rzekome adresy ratunkowe.

Atak na portfel Keplr pozostaje potwierdzonym incydentem bezpieczeństwa z nieustaloną sumą strat finansowych. Kluczowe rozróżnienie jest wąskie, ale istotne: Web3Auth nazywa część adresów transferów portfelami ochronnymi, podczas gdy nieautoryzowana aktywność dotknęła konta z logowaniem społecznościowym. Dopóki firmy nie opublikują pełnej rekonsyliacji, podział między skradzionymi a zabezpieczonymi środkami pozostaje niejasny.