Bitquery отследила кражу $6,01 млн через кошельки Keplr, созданные с помощью входа через Google и Apple

Как минимум $6,01 млн были выведены из кошельков Keplr в период с 6 по 7 ноября 2026 года, а потери связаны с раскрытыми приватными ключами аккаунтов, созданных через вход Google или Apple. Специалисты блокчейн-аналитики из Bitquery проследили движение средств, и их выводы указывают на удобный вариант входа через соцсети — а не на традиционную настройку кошелька с сид-фразой — как на слабое звено.

Это различие важно для всех, кто сейчас хранит активы в Keplr. Заявленное раскрытие данных затрагивает аккаунты с социальным входом — те, где пользователь нажимает «Sign in with Google» или «Sign in with Apple» вместо того, чтобы записать список сид-слов.

Как происходило опустошение кошельков

Анализ Bitquery выявил около 44 700 отдельных кошельков, затронутых несанкционированными транзакциями. В разбивке насчитывается 44 041 кошелек в цепочках экосистемы Cosmos и 7 603 — в Injective.

Cosmos Hub понес наибольший ущерб: примерно $3,5 млн потерь пришлось только на эту цепочку. Часть этой суммы касалась застейканных активов: около 1,96 млн стейкинговых ATOM были выведены без обычного 21-дневного периода разблокировки. Это 21-дневное ожидание — встроенная функция системы стейкинга Cosmos Hub: после запроса на снятие токены обычно остаются заблокированными 21 день, прежде чем их можно будет перевести.

Данные о времени добавили еще один тревожный слой. Bitquery отследила, что 86% выведенных средств в связанных сетях пришлось на транзакции, произошедшие после того, как Keplr выпустила первое предупреждение 7 ноября 2026 года. Проще говоря, большая часть денег ушла после того, как пользователям уже сообщили о проблеме.

На кого возлагают ответственность

Keplr, разработчик кошелька, связала взлом с уязвимостью в безопасности Web3Auth — стороннего сервиса, который управляет процессом социального входа и обрабатывает ключи кошельков для таких аккаунтов. Web3Auth подтвердила, что уязвимость в ее инфраструктуре раскрыла приватные ключи некоторых сторонних пользователей, и сообщила, что принятые защитные меры совпали с паттернами транзакций атакующего.

Сооснователь Keplr Джош Ли (Josh Lee) сообщил, что взлом затронул, по оценкам, около 20% аккаунтов, созданных с помощью социального входа, добавив, что лишь их часть была полностью задействована на данный момент. Keplr немедленно приостановила вход через Google и Apple и начала восстановление затронутых аккаунтов.

По состоянию на 8 ноября 2026 года ни Keplr, ни Web3Auth не раскрыли точную техническую причину взлома, не опубликовали точную сумму потерь, не подтвердили число затронутых аккаунтов и не уточнили, сколько средств можно вернуть.

Почему социальный вход и фразы восстановления — разные вещи

Криптокошелек в конечном итоге контролируется приватным ключом, и тот, кто владеет этим ключом, может переместить средства. Классический способ резервного копирования ключа — фраза восстановления, обычно строка из 12 или 24 слов. Пользователь записывает ее, хранит в безопасном месте, и ответственность полностью лежит на нем.

Социальный вход существует потому, что фразы восстановления, откровенно говоря, представляют собой неудобный опыт для новичков. Сервисы вроде Web3Auth позволяют входить через привычные аккаунты Google или Apple. Компромисс в том, что управление ключами зависит от внешней инфраструктуры, и когда в этой инфраструктуре есть изъян, управляемые ею ключи могут быть раскрыты — именно это, как утверждает Web3Auth, произошло с некоторыми пользователями в данном случае.

Заявленный ущерб в этом инциденте сосредоточен на аккаунтах, созданных через вход Google и Apple. Пользователи, настроившие Keplr с традиционной фразой восстановления, не стали объектом заявленного раскрытия ключей.

Что это значит для пользователей и экосистемы Cosmos

Насущный приоритет для затронутых пользователей прост: любой, у кого аккаунт Keplr создан через Google или Apple, должен считать его потенциально скомпрометированным и следовать рекомендациям Keplr по восстановлению.

Масштаб также подчеркивает роль Keplr в межчейновой среде: одно приложение-кошелек обслуживает как цепочки экосистемы Cosmos, так и Injective, что в данном случае означало, что один скомпрометированный путь входа одновременно затронул балансы в нескольких сетях.

Цифра в 86% после предупреждения — деталь, над которой стоит задуматься. Поскольку значительная часть потерь произошла после того, как пользователи были предупреждены, скорость, с которой провайдеры кошельков могут связаться с пользователями во время активного инцидента, может значить не меньше, чем само исправление.

Открытые вопросы остаются в фокусе. Keplr и Web3Auth все еще должны объяснить точную техническую причину, подтвердить итоговую сумму потерь и число затронутых аккаунтов, а также разъяснить, сколько средств пользователи могут рассчитывать вернуть. Будет ли Keplr восстанавливать приостановленную опцию входа через Google и Apple и на каких условиях — еще одно развитие событий, за которым стоит следить. Пока этих ответов нет, отслеженные Bitquery $6,01 млн — это нижняя граница, а не итоговая сумма.

Более подробно об исходном анализе сообщило издание Crypto Briefing.