Взлом кошелька Keplr насторожил пользователей, входивших через Google или Apple. Keplr приостановил оба варианта социального входа после того, как несанкционированные транзакции затронули часть аккаунтов, уточнив, что кошельки, созданные с помощью мнемофразы или аппаратного кошелька, не затронуты. Web3Auth — поставщик технологии встроенного входа, лежащей в основе этой функции, — приостановила свой сервис в рамках реагирования на инцидент, а владельцам затронутых аккаунтов было рекомендовано не вносить дополнительные средства.

Раннее блокчейн-отслеживание обнаружило более 6 млн долларов на нескольких on-chain-адресах. Позднее Web3Auth сообщила, что многие из отмеченных адресов относятся к ее собственной операции по восстановлению. Это уточнение меняет трактовку on-chain-движений. Оно не отменяет несанкционированную активность и не устанавливает итоговую сумму потерь, а пользователям следует отличать защитные переводы от выводов средств, контролируемых злоумышленником.

Взлом кошелька Keplr привел к приостановке входа через Google и Apple

Функция социального входа Keplr позволяла открывать аккаунт через Google или Apple вместо записи мнемофразы, при этом генерация и доступ к ключам кошелька обеспечивались инфраструктурой Web3Auth. Такой дизайн отражал более широкую тенденцию в потребительском крипто-сегменте — снизить неудобства использования seed-фразы при регистрации, — однако он передавал генерацию и доступ к ключам стороннему провайдеру, а не оставлял их исключительно за пользователем. Web3Auth впервые приостановила сервис встроенных кошельков 6 ноября и перевела Login Service в режим обслуживания, пока расследователи разбирались с инцидентом безопасности.

На следующий день Keplr сообщил, что на некоторых аккаунтах социального входа были транзакции, не санкционированные их владельцами. Компания отключила вход через Google и Apple, пока вместе с Web3Auth изучала инцидент.

Что это значит для пользователей Keplr

Если вы создали кошелек Keplr с помощью мнемофразы или аппаратного кошелька, вас это НЕ затронуло.

В ответ на уязвимость инфраструктуры Web3Auth, приведшую к компрометации приватных ключей некоторых пользователей Keplr, входивших через Google или Apple, мы…

— Keplr Wallet (@keplrwallet) 7 ноября 2026 г.

Взлом затрагивает маршрут социального входа, но не все аккаунты Keplr. Рекомендация Keplr однозначна: не отправляйте новые средства на затронутый аккаунт. Пользователям следует перевести оставшиеся ликвидные токены на отдельный кошелек с мнемофразой или аппаратный кошелек.

Компрометация приватного ключа может мгновенно раскрыть балансы в экосистеме Cosmos. В сетях на базе Cosmos адреса на разных цепочках часто используют один и тот же базовый ключ при разных префиксах, и такой дизайн способен превратить компрометацию одного ключа в проблему для всей экосистемы. Это также объясняет, почему раннее отслеживание обнаружило активность на Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX и Babylon.

Bitquery отследила не менее 6,01 млн долларов на восемь адресов

Аналитическая блокчейн-компания Bitquery, опубликовавшая свои выводы на открытой странице расследования, отследила не менее 6,01 млн долларов на восемь адресов. Компания зафиксировала 44 041 опустошенный кошелек на семи связанных цепочках и оценила общее число пострадавших примерно в 44 700. В исследование не были включены токены без рыночной оценки, а крупнейшая индивидуальная потеря составила около 325 000 долларов.

Первоначальная цифра не является подтвержденной и окончательной суммой кражи. Она отражает стоимость средств на указанных адресах на момент завершения расследования. Верифицированные кошельки восстановления Web3Auth теперь помогают аналитикам четко отделить украденные балансы от средств, переведенных в ходе whitehat-реагирования, и эта оценка может измениться по мере сверки отдельных транзакций с пользователями.

Взлом кошелька Keplr вызывает вопросы о кошельках восстановления

Web3Auth позднее сообщила, что начала whitehat-восстановления до того, как злоумышленник смог добраться до некоторых уязвимых кошельков, используя тот же путь доступа для защиты затронутых средств. В результате движение баланса из кошелька социального входа не обязательно доказывает кражу.

Cosmos Hub cosmos1atuap9kfnt6y8ykvn3437e7j3z8qffh3qtnmwu

Osmosis osmo1atuap9kfnt6y8ykvn3437e7j3z8qffh3gsqtcw

Celestia celestia1atuap9kfnt6y8ykvn3437e7j3z8qffh33pzt53

Akash akash1atuap9kfnt6y8ykvn3437e7j3z8qffh3ds7uhx

Noble noble1atuap9kfnt6y8ykvn3437e7j3z8qffh3ggxnkj

— Web3Auth (@Web3Auth) 8 ноября 2026 г.

8 ноября Web3Auth опубликовала верифицированные адреса для операции по восстановлению, а Keplr передал тот же список, заявив, что указанные адреса не являются вредоносными или адресами эксплойта. Список включал адреса на восьми цепочках Cosmos, трех дополнительных сетях Cosmos и один EVM-адрес, охватывающий восемь цепочек.

Эти кошельки восстановления Web3Auth пересекаются с адресами, которые Bitquery ранее связала с выводом средств, и это совпадение осложняет оценку headline-потерь. Web3Auth не раскрыла стоимость защищенных средств, и ни одна из компаний не предоставила итоговой сверки потерь. Процесс возврата средств и технический разбор пока отсутствуют. Эти открытые вопросы определяют, за чем следить: технический разбор с объяснением того, как были раскрыты приватные ключи, раскрытие стоимости средств, защищенных Web3Auth в ходе whitehat-реагирования, и решение о том, вернется ли вход через Google и Apple в Keplr и в каком виде.

Keplr сообщил, что некоторые аккаунты могут выглядеть пустыми, поскольку средства были перемещены в ходе смягчения последствий, а стейкинговые и заблокированные активы требуют больше времени для защиты. Пользователям не следует доверять личным сообщениям, раскрывать мнемофразы или отправлять средства на якобы «спасательные» адреса.

Взлом кошелька Keplr остается подтвержденным инцидентом безопасности с неопределенным финансовым итогом. Ключевое различие узкое, но важное: Web3Auth называет часть адресов перевода защитными кошельками, тогда как несанкционированная активность затронула аккаунты социального входа. Пока компании не опубликуют полную сверку, разделение между украденными и защищенными средствами остается неясным.