Web3Auth, dostawca wbudowanych portfeli, który został włączony do MetaMask w ramach Consensys, tymczasowo wstrzymał usługę wbudowanych portfeli po wykryciu krytycznego problemu bezpieczeństwa. Firma oświadcza, że nie ma dowodów na to, że ucierpieli użytkownicy MetaMask. Tego samego nie można powiedzieć o wszystkich, którzy budowali na jej infrastrukturze: Keplr Wallet, szeroko używany portfel w ekosystemie Cosmos, w odpowiedzi wyłączył opcje logowania przez Google i Apple.

Wstrzymanie weszło w życie 6 listopada 2026 roku około godziny 21:13 UTC. Według Web3Auth wyłączenie miało na celu zbadanie potencjalnego wpływu problemu. Największe skutki odczuli integratorzy zewnętrzni, przede wszystkim Keplr.

Jak problem dotarł do Keplr

Keplr korzystał z Web3Auth do obsługi logowania społecznościowego, umożliwiając użytkownikom logowanie przez konta Google i Apple zamiast zarządzania frazą seed. Keplr zgłosił nieautoryzowane transakcje począwszy od około 6 listopada, tej samej daty, w którą Web3Auth zasygnalizował problem. Po wyśledzeniu źródła problemu w Web3Auth, Keplr wyłączył opcje logowania przez Google i Apple 7 listopada, aby ograniczyć dalsze ryzyko.

Narażenie nie było jednolite w całej bazie użytkowników Keplr. Według danych związanych z incydentem około 20% użytkowników Keplr korzystających z logowania społecznościowego mogło zostać narażonych. Ten wzorzec wskazuje, że narażenie było związane z samym przepływem logowania społecznościowego.

Dane śledzenia blockchain powiązane z naruszeniem wykazują około 6 milionów dolarów wypływów, przy czym środki przepłynęły z ponad 44 000 adresów Cosmos i około 7 600 adresów Injective. Web3Auth zakwestionował tę kwotę strat, więc 6 milionów dolarów należy odczytywać jako szacunek oparty na przepływach onchain, a nie potwierdzone zestawienie skradzionych środków.

Firma rozpoczęła również środki naprawcze, w tym tzw. transfery white-hat, które przenoszą aktywa z podatnych portfeli na zweryfikowane adresy, zanim zdąży do nich dotrzeć atakujący. Ostateczna kwota zabezpieczona w ramach tych operacji nie jest jeszcze znana.

Nie wszyscy znaleźli się w zasięgu skutków. Trust Wallet oraz standardowe konta MetaMask okazały się nienaruszone, a konta Keplr, które nie korzystały z logowania społecznościowego, również pozostały nietknięte.

Dlaczego portfele z logowaniem społecznościowym są pod lupą

Wbudowane portfele z logowaniem społecznościowym zostały zaprojektowane, aby rozwiązać jeden z najstarszych problemów użyteczności w krypto: frazę seed. Logowanie społecznościowe pozwala użytkownikom logować się tak, jak w każdej popularnej aplikacji, a w tle strona trzecia obsługuje większość zarządzania kluczami, dzięki czemu użytkownik nigdy nie musi tego robić samodzielnie.

Wiele z tych rozwiązań opiera się na obliczeniach wielostronnych (MPC). Mówiąc prosto, MPC dzieli kontrolę nad kluczem prywatnym pomiędzy wiele stron, więc żaden pojedynczy fragment nie wystarcza samodzielnie do przeniesienia środków. Na papierze rozprasza to ryzyko pomiędzy uczestników. W praktyce incydent ten pokazuje, że takie rozwiązanie wprowadza również zależność: jeśli dostawca obsługujący część procesu ma wadę, każda aplikacja zbudowana na nim może odziedziczyć tę wadę.

Co to oznacza dla portfeli, użytkowników i twórców

Dla deweloperów incydent rodzi istotne pytania o ryzyko koncentracji. Gdy wiele portfeli podpiętych jest do tego samego dostawcy wbudowanych portfeli, pojedynczy problem może jednocześnie rozlać się na wiele ekosystemów — w tym przypadku dotykając zarówno użytkowników Cosmos, jak i Injective poprzez jedną integrację. Szybka decyzja Keplr o wyłączeniu logowania społecznościowego działała jak hamulec awaryjny.

Dla MetaMask i Consensys zapewnienie, że użytkownicy MetaMask nie wykazują oznak kompromitacji, będzie miało duże znaczenie dla planów integracji.

Pozostaje kilka otwartych pytań warte obserwacji. Pierwsze to ostateczne rozliczenie: czy kwestionowanie przez Web3Auth kwoty 6 milionów dolarów przyniesie istotnie inną liczbę. Drugie to to, jaką część narażonej wartości uda się zabezpieczyć transferom white-hat. Trzecie to kiedy i na jakich warunkach Web3Auth przywróci usługę wbudowanych portfeli, a Keplr ponownie włączy logowanie społecznościowe.

Źródło: CryptoBriefing