Web3Auth оспаривает цифру, стремительно разошедшуюся по криптосообществу: сообщаемую кражу на 6,01 млн долларов из кошельков Keplr с социальной авторизацией. Компания утверждает, что эта оценка была неточной, поскольку спорные средства были переведены в верифицированные кошельки для восстановления, а не в руки злоумышленника.

Этот спор важен, потому что он наслаивается на реальный инцидент безопасности. Уязвимость в сервисах Web3Auth затронула пользователей Keplr, входивших через аккаунты Google и Apple, и открытым остается вопрос, сколько из ушедших из этих кошельков средств действительно потеряно.

Что произошло с кошельками Keplr с социальной авторизацией

Проблемы начались 6–7 ноября 2026 года, когда из кошельков Keplr, привязанных к социальной авторизации, начался вывод средств. Bitquery, поставщик блокчейн-данных, отследил более 44 041 затронутых кошельков в экосистеме Cosmos, а также 7 603 кошельков в сети Injective, построенной на Cosmos. Об оттоках сообщалось в ранее опубликованном материале CryptoBriefing об инциденте.

Затронутыми оказались аккаунты, полагавшиеся на инфраструктуру Web3Auth для входа и управления ключами.

Web3Auth подтвердила уязвимость 6 ноября и в тот же день приостановила работу сервиса встроенных кошельков.

Сооснователь Keplr Джош Ли заявил, что взлом стал следствием дефекта в сервисах Web3Auth и затронул около 20% кошельков, созданных через вход Google и Apple. Кошельки, созданные традиционным способом, признаков компрометации не показали. По данным Keplr, аккаунты, настроенные с фразой восстановления или аппаратными устройствами, остались в безопасности.

Для неспециалистов схема выглядит так: кошелек с социальной авторизацией позволяет открыть криптоаккаунт с помощью Gmail или Apple ID вместо записи сид-фразы из 12 или 24 слов — последовательности случайных слов, служащей единственной резервной копией для некастодиального кошелька. Сторонний провайдер — в данном случае Web3Auth — управляет ключами «за кулисами», что снижает порог входа, но концентрирует доверие в инфраструктуре провайдера.

Почему цифра в 6,01 млн долларов оспаривается

Число 6,01 млн долларов было получено путем подсчета средств, покинувших затронутые кошельки за период инцидента. Позиция Web3Auth состоит в том, что подсчет захватил не те транзакции. Компания утверждает, что часть движений на цепочке, помеченных как кража, на самом деле была защитными «белошляпными» восстановлениями, выполненными Web3Auth и ее партнерами.

Путаница возникла из-за того, как эти спасательные операции выглядели на цепочке. Операции по восстановлению использовали те же технические маршруты, что и первоначальные атаки, поэтому для любого наблюдателя за блокчейном спасение и ограбление выглядели практически одинаково.

К 8 ноября Web3Auth опубликовала список верифицированных адресов восстановления, охватывающий одиннадцать сетей на базе Cosmos и восемь EVM-совместимых цепочек. Цель состояла в том, чтобы пользователи и аналитики могли убедиться, что восстановленные активы попали в контролируемые компанией кошельки. Именно на этот список ссылается Web3Auth, называя оценку в 6,01 млн долларов ложной: если деньги находятся на этих адресах, по логике компании, они не были украдены.

Только официальные каналы

И Web3Auth, и Keplr призвали пользователей игнорировать любые неофициальные предложения по восстановлению и полагаться только на собственные каналы компаний для обновлений и указаний. Keplr также посоветовал пользователям прекратить внесение новых средств на затронутые аккаунты и на время перевести активы в защищенные аккаунты.

Что это означает для кошельков с социальной авторизацией

Когда пользователь сам хранит фразу восстановления или аппаратное устройство, его безопасность зависит главным образом от него самого. Когда ключами управляет провайдер, единственный дефект наверху может одновременно затронуть тысячи кошельков. Собственные рекомендации Keplr подчеркнули этот разрыв: кошельки с фразой и аппаратные кошельки прошли инцидент без потерь.

Спор вокруг цифры также выявляет слабость в том, как криптоинциденты измеряются в реальном времени. Аналитика на цепочке быстра и прозрачна, но она показывает движение, а не намерение. Спасательная операция, повторяющая атаку, будет считаться атакой, пока кто-то с большим контекстом не скажет иного.

Это работает в обе стороны. Ранние оценки могут преувеличивать ущерб, как, по мнению Web3Auth, произошло здесь. Но и собственный отчет компании об инциденте заслуживает проверки — именно поэтому важны опубликованные адреса восстановления: они позволяют внешним наблюдателям проверить заявление, а не принимать его на веру.

Над следующей фазой инцидента теперь висят два вопроса: какая часть спорного оттока в итоге будет сопоставлена с опубликованными адресами восстановления, и возобновится ли — и когда — приостановленный сервис встроенных кошельков Web3Auth. И то и другое можно отслеживать через официальные каналы компаний, а не через неофициальные предложения по восстановлению.

Эта статья основана на репортаже CryptoBriefing.