Кошелек Keplr приостановил функцию входа через Google и Apple после сообщений пользователей о несанкционированных переводах криптовалюты; по предварительным оценкам, уязвимыми могут быть около 20% аккаунтов, созданных через социальную аутентификацию.

Инцидент 7 ноября затронул кошельки по всей экосистеме Cosmos: исследователи сообщества сообщают о краже активов, связанных с Injective, Osmosis и Cosmos Hub. Первоначальные оценки потерь превысили 700 000 долларов, хотя последующее независимое отслеживание указывает на существенно больший объем вывода средств. Keplr не подтвердил официальную сумму потерь.

Проблема безопасности возникла в Web3Auth — стороннем провайдере аутентификации, обеспечивающем функцию социального входа Keplr. Обе компании расследуют компрометацию, а Keplr предупредил пострадавших пользователей о необходимости воздержаться от внесения дополнительных активов или попыток воссоздания кошельков.

Сооснователь оценивает, что уязвимыми могут быть 20% аккаунтов с социальным входом

Keplr подтвердил несанкционированные транзакции с аккаунтами Google и Apple в официальном заявлении в X, отличив эти кошельки от аккаунтов, созданных через обычные сид-фразы или аппаратные устройства. Компания сообщила, что предварительное расследование не выявило признаков компрометации других типов кошельков в связи с инцидентом Web3Auth.

Сооснователь Chainapsis Джош Ли, чья компания разрабатывает Keplr, предоставил дополнительные детали, оценив, что могут быть затронуты примерно 20% аккаунтов с социальным входом. Однако он подчеркнул, что пострадала, судя по всему, лишь часть потенциально уязвимых аккаунтов, что оставляет возможность восстановления доступа к остальным. Ли также уточнил, что инцидент не был связан с уязвимостью в собственном коде приложения Keplr.

Система социальной аутентификации Keplr опирается на инфраструктуру распределенной генерации ключей Web3Auth — криптографический дизайн, при котором материал ключа разделяется между несколькими сторонами, так что ни одно устройство или сервер не хранит полный приватный ключ. Она позволяет создавать криптокошельки через существующие аккаунты Google или Apple вместо ручного управления сид-фразами — подход, который давно рекламировался как упрощающий онбординг для пользователей, новых для самостоятельного хранения активов. Архитектура безопасности кошелька генерирует приватные ключи через Web3Auth и хранит зашифрованные учетные данные локально. Однако удобство этого дизайна привязывает безопасность кошелька к инфраструктуре стороннего провайдера. Точный механизм, позволивший совершить несанкционированные транзакции, не раскрыт.

Web3Auth приостанавливает сервисы на фоне роста оценок потерь

Web3Auth подтвердил инцидент безопасности, затронувший сторонние интеграции, 6 ноября и временно отключил сервис встроенных кошельков. Впоследствии компания перевела свою инфраструктуру входа в режим обслуживания, подтвердив, что принимаются меры предосторожности. Web3Auth, приобретенный разработчиком MetaMask Consensys в 2025 году, сообщил, что первоначальное расследование не выявило признаков воздействия на пользователей MetaMask.

Тем временем независимые исследователи сообщества отследили подозрительные перемещения токенов ATOM, OSMO и INJ, и некоторые оценки теперь достигают нескольких миллионов долларов. Ни Keplr, ни Web3Auth не подтвердили эти цифры и не раскрыли число пострадавших пользователей.

Этот эпизод следует за серией недавних атак с использованием внешней криптоинфраструктуры. 29 октября Polymarket пострадала от эксплойта, опустошившего кошельки на 2,7 миллиона долларов, после того как вредоносный JavaScript попал в ее торговый интерфейс через скомпрометированного провайдера мониторинга. Отдельно BTCPay Server предупредил операторов о несанкционированных выводах с горячих кошельков, связанных с уязвимыми установками программного обеспечения. В совокупности эти инциденты показывают, что атакующие все чаще нацелены на стороннюю инфраструктуру, от которой зависят криптопродукты, — инструменты мониторинга, платежное ПО, сервисы аутентификации — а не на основной код приложений.

Keplr поручил пользователям, создавшим кошельки через аутентификацию Google или Apple, не отправлять дополнительные средства на эти аккаунты и не импортировать их в другие приложения, пока продолжается расследование. Команда также предостерегла от незапрашиваемой помощи в восстановлении, мошеннических сообщений от «поддержки» и подозрительных ссылок, обещающих вернуть украденные средства; дополнительные рекомендации доступны в справочном центре.

План компенсаций или сроки восстановления функции социального входа не объявлены. Расследование продолжается: Keplr и Web3Auth работают над идентификацией затронутых аккаунтов, определением метода атаки и оценкой возможных вариантов восстановления. Пока наблюдатели ждут трех вещей, которых ни одна из компаний еще не предоставила: подтвержденного метода атаки, проверенных цифр потерь и сроков возвращения социального входа в строй.

Статья впервые опубликована на Crypto Adventure.