Web3Auth odnosi się krytycznie do liczby, która szybko rozeszła się po środowisku krypto: donoszonej kradzieży 6,01 mln USD z portfeli Keplr obsługiwanych przez logowanie społecznościowe. Firma twierdzi, że szacunek był niedokładny, ponieważ sporne środki trafiły na zweryfikowane portfele odzyskowe, a nie w ręce atakującego.

Spór ma znaczenie, ponieważ dotyczy rzeczywistego incydentu bezpieczeństwa. Podatność w usługach Web3Auth dotknęła użytkowników Keplr logujących się przez konta Google i Apple, a otwartym pytaniem pozostaje, jaka część środków, które opuściły te portfele, faktycznie przepadła.

Co się stało z portfelami Keplr obsługiwanymi przez logowanie społecznościowe

Kłopoty rozpoczęły się 6 i 7 listopada 2026 r., gdy z portfeli Keplr powiązanych z logowaniem społecznościowym zaczęły znikać środki. Bitquery, dostawca danych blockchain, wykrył ponad 44 041 dotkniętych portfeli w ekosystemie Cosmos oraz 7 603 portfeli w Injective, sieci opartej na Cosmos. Odpływ środków został zasygnalizowany we wcześniejszym doniesieniu CryptoBriefing o incydencie.

Dotknięte konta to te, które korzystały z infrastruktury Web3Auth do logowania i zarządzania kluczami.

Web3Auth potwierdziło podatność 6 listopada i tego samego dnia wstrzymało usługę wbudowanych portfeli.

Współzałożyciel Keplr Josh Lee powiedział, że włamanie wynikało z wady w usługach Web3Auth i dotknęło około 20% portfeli utworzonych przez logowanie Google i Apple. Portfele utworzone tradycyjną metodą nie wykazały śladów kompromitacji. Według Keplr konta zabezpieczone frazą odzyskiwania lub urządzeniami sprzętowymi były bezpieczne.

Dla osób niezwiązanych z branżą mechanizm działa tak: portfel z logowaniem społecznościowym pozwala otworzyć konto krypto przy użyciu Gmaila lub Apple ID zamiast zapisywać frazę seed składającą się z 12 lub 24 słów — losowej sekwencji słów, która stanowi jedyne zabezpieczenie portfela samostanowiącego. Zewnętrzny dostawca, w tym przypadku Web3Auth, zarządza kluczami w tle, co obniża próg wejścia, ale koncentruje zaufanie w infrastrukturze dostawcy.

Dlaczego kwota 6,01 mln USD jest kwestionowana

Liczba 6,01 mln USD powstała z zsumowania środków, które wypłynęły z dotkniętych portfeli w oknie czasowym incydentu. Stanowisko Web3Auth jest takie, że w zestawieniu ujęto niewłaściwe transakcje. Firma twierdzi, że część ruchów na łańcuchu zaklasyfikowanych jako kradzież była w rzeczywistości ochronnymi odzyskami „whitehat” przeprowadzonymi przez Web3Auth i jego partnerów.

Zamieszanie wynikało z tego, jak te akcje ratunkowe wyglądały na łańcuchu. Operacje odzyskiwania wykorzystywały te same trasy techniczne co początkowe ataki, więc dla każdego obserwującego blockchain ratunek i rabunek wyglądały niemal identycznie.

Do 8 listopada Web3Auth opublikowało listę zweryfikowanych adresów odzyskowych obejmującą jedenaście sieci opartych na Cosmos i osiem sieci zgodnych z EVM. Celem było umożliwienie użytkownikom i analitykom potwierdzenia, że odzyskane aktywa trafiły do portfeli kontrolowanych przez firmę. Do tej listy Web3Auth odwołuje się również, nazywając szacunek 6,01 mln USD fałszywym: jeśli środki znajdują się na tych adresach, to — jak argumentuje firma — nie zostały skradzione.

Tylko oficjalne kanały

Zarówno Web3Auth, jak i Keplr przekazały użytkownikom, aby ignorowali nieoficjalne propozycje odzyskiwania środków i polegali wyłącznie na oficjalnych kanałach obu firm w kwestii aktualizacji i wskazówek. Keplr doradziło również użytkownikom, aby nie wpłacali nowych środków na dotknięte konta i w międzyczasie przenieśli aktywa na bezpieczne konta.

Co to oznacza dla portfeli z logowaniem społecznościowym

Gdy użytkownik sam przechowuje frazę odzyskiwania lub urządzenie sprzętowe, jego bezpieczeństwo zależy głównie od własnych praktyk. Gdy kluczami zarządza dostawca, pojedyncza wada po stronie infrastruktury może jednocześnie objąć tysiące portfeli. Własne zalecenia Keplr podkreślały ten podział, ponieważ portfele oparte na frazach i portfele sprzętowe przeszły incydent bez uszczerbku.

Spór o liczbę ujawnia również słabość w sposobie, w jaki incydenty krypto są mierzone w czasie rzeczywistym. Analizy on-chain są szybkie i przejrzyste, ale pokazują ruch środków, nie intencje. Ratunek, który przypomina atak, będzie liczony jako atak, dopóki ktoś z większym kontekstem nie powie inaczej.

To działa w obie strony. Wczesne szacunki mogą zawyżać straty — tak, jak zdaniem Web3Auth stało się w tym przypadku. Ale również rozliczenie incydentu przedstawiane przez samą firmę zasługuje na weryfikację, dlatego publikacja adresów odzyskowych ma znaczenie: pozwala osobom trzecim sprawdzić twierdzenie, zamiast przyjmować je w ciemno.

Nad kolejną fazą incydentu wiszą dwa pytania: jaka część spornego odpływu ostatecznie zostanie zrównana z opublikowanymi adresami odzyskowymi oraz czy — i kiedy — wstrzymana usługa wbudowanych portfeli Web3Auth wróci online. Oba można śledzić poprzez oficjalne kanały firm, a nie poprzez nieoficjalne propozycje odzyskiwania.

Ten artykuł opiera się na doniesieniu CryptoBriefing.