Keplr Wallet zawiesił funkcję logowania przez Google i Apple po tym, jak użytkownicy zgłosili nieautoryzowane transfery kryptowalut; wczesne szacunki sugerują, że zagrożonych może być około 20% kont utworzonych przez uwierzytelnianie społecznościowe.

Incydent z 7 listopada dotknął portfele w całym ekosystemie Cosmos — badacze ze społeczności zgłaszają skradzione aktywa związane z Injective, Osmosis i Cosmos Hub. Początkowe szacunki strat przekroczyły 700 000 dolarów, choć późniejsze niezależne śledzenie wskazuje na znacznie większe wypływy. Keplr nie potwierdził oficjalnej łącznej kwoty strat.

Problem bezpieczeństwa miał źródło w Web3Auth, zewnętrznym dostawcy uwierzytelniania napędzającym logowanie społecznościowe Keplr. Obie firmy badają kompromitację, a Keplr ostrzegł poszkodowanych użytkowników przed wpłacaniem dodatkowych środków lub próbami odtworzenia portfeli.

Współzałożyciel szacuje, że narażonych może być 20% kont z logowaniem społecznościowym

Keplr potwierdził nieautoryzowane transakcje dotyczące kont Google i Apple w oficjalnym oświadczeniu na X, odróżniając te portfele od kont utworzonych za pomocą klasycznych fraz odzyskiwania lub urządzeń sprzętowych. Firma poinformowała, że wstępne śledztwo nie wykazało dowodów na to, by pozostałe typy portfeli zostały skompromitowane w wyniku incydentu z Web3Auth.

Współzałożyciel Chainapsis Josh Lee, którego firma rozwija Keplr, przekazał dodatkowe szczegóły, szacując, żeDotyczyć to mogło około 20% kont z logowaniem społecznościowym. Podkreślił jednak, że tylko część potencjalnie zagrożonych kont wydaje się została wykorzystana, co pozostawia możliwość odzyskania dostępu do pozostałych. Lee wyjaśnił także, że incydent nie wynikał z luki w kodzie aplikacji samego Keplr.

System uwierzytelniania społecznościowego Keplr opiera się na infrastrukturze rozproszonego generowania kluczy Web3Auth — kryptograficznym rozwiązaniu, które dzieli materiał klucza między wiele stron tak, że żadne pojedyncze urządzenie ani serwer nigdy nie przechowuje pełnego klucza prywatnego. Pozwala użytkownikom tworzyć portfele kryptowalutowe przez istniejące konta Google lub Apple zamiast ręcznego zarządzania frazami odzyskiwania — podejście od dawna promowane jako ułatwiające onboarding użytkownikom nieznającym się na self-custody. Architektura bezpieczeństwa portfela generuje klucze prywatne przez Web3Auth i przechowuje zaszyfrowane poświadczenia lokalnie. Wygoda tego rozwiązania wiąże jednak bezpieczeństwo portfela z infrastrukturą zewnętrznego dostawcy. Dokładny mechanizm umożliwiający nieautoryzowane transakcje nie został ujawniony.

Web3Auth zawiesza usługi w miarę wzrostu szacunków strat

Web3Auth przyznał, że doszło do incydentu bezpieczeństwa dotyczącego integracji zewnętrznych 6 listopada i tymczasowo wyłączył swoją usługę portfeli embedded. Następnie firma wprowadziła infrastrukturę logowania w stan konserwacji, potwierdzając, że trwają środki ostrożności. Web3Auth, przejęty w 2025 roku przez Consensys, twórcę MetaMask, oświadczył, że wstępne śledztwo nie wykazało dowodów na to, by użytkownicy MetaMask zostali dotknięci.

Tymczasem niezależni badacze ze społeczności śledzą podejrzane przemieszczenia tokenów ATOM, OSMO i INJ, a niektóre szacunki sięgają już kilku milionów dolarów. Ani Keplr, ani Web3Auth nie zweryfikowali tych kwot ani nie ujawnili liczby poszkodowanych użytkowników.

Ten incydent wpisuwał się w serię niedawnych ataków na zewnętrzną infrastrukturę kryptowalutową. 29 października Polymarket ucierpiał na exploście opróżniającym portfele na 2,7 miliona dolarów, po tym jak złośliwy JavaScript dostał się do interfejsu handlowego przez skompromitowanego dostawcę monitoringu. Osobno BTCPay Server ostrzegł operatorów przed nieautoryzowanymi wypłatami z hot walletów związanymi z podatnymi instalacjami oprogramowania. Wspólny mianownik tych incydentów pokazuje, że atakujący coraz częściej celują w infrastrukturę zewnętrzną, od której zależą produkty krypto — narzędzia monitorujące, oprogramowanie płatnicze, usługi uwierzytelniania — a nie w rdzeń kodu aplikacji.

Keplr pouczył użytkowników, którzy utworzyli portfele przez uwierzytelnianie Google lub Apple, by nie wysyłali dodatkowych środków na te konta ani nie importowali ich ponownie do innych aplikacji, dopóki trwa śledztwo. Zespół ostrzegł także przed nieproszoną pomocą w odzyskiwaniu, fałszywymi wiadomościami wsparcia i podejrzanymi linkami obiecującymi odzyskanie skradzionych środków; dalsze wskazówki dostępne są w centrum pomocy.

Nie ogłoszono planu zwrotów ani harmonogramu przywrócenia logowania społecznościowego. Śledztwo trwa — Keplr i Web3Auth starają się zidentyfikować dotknięte konta, ustalić metodę ataku i ocenić możliwości odzyskania środków. Obserwatorzy czekają na trzy rzeczy, których żadna z firm jeszcze nie podała: potwierdzoną metodę ataku, zweryfikowane kwoty strat i termin przywrócenia logowania społecznościowego.

Ten artykuł pierwotnie ukazał się w Crypto Adventure.