Web3Auth — провайдер встроенных кошельков, ныне вошедший в состав MetaMask под крылом Consensys, — временно приостановил работу сервиса встроенных кошельков после обнаружения критической проблемы с безопасностью. Компания заявляет, что нет доказательств затронутости пользователей MetaMask. Однако того же нельзя сказать обо всех, кто строил решения на ее инфраструктуре: кошелек Keplr, широко используемый в экосистеме Cosmos, в ответ отключил опции входа через Google и Apple.

Приостановка вступила в силу 6 ноября 2026 года примерно в 21:13 UTC. По данным Web3Auth, отключение было выполнено для расследования возможных последствий проблемы. Основной удар пришелся по сторонним интеграторам, прежде всего по Keplr.

Как проблема распространилась на Keplr

Keplr полагался на Web3Auth для социальных входов, позволяя пользователям авторизоваться через аккаунты Google и Apple вместо управления seed-фразой. Keplr сообщил о несанкционированных транзакциях примерно с 6 ноября — в тот же день, когда Web3Auth обнаружил свою проблему. Отследив источник проблемы до Web3Auth, Keplr 7 ноября отключил вход через Google и Apple, чтобы ограничить дальнейший риск.

Затронутость не была равномерной по всей базе пользователей Keplr. По данным, связанным с инцидентом, потенциально затронутыми могли оказаться около 20% пользователей Keplr, полагавшихся на социальный вход. Эта закономерность указывает на то, что риск был связан именно с механизмом социального входа.

Данные блокчейн-отслеживания, связанные со взломом, показывают оттоки примерно на 6 млн долларов: средства переместились с более чем 44 000 адресов Cosmos и около 7 600 адресов Injective. Web3Auth оспаривает эту цифру потерь, поэтому 6 млн долларов следует рассматривать как оценку на основе ончейн-движения средств, а не как подтвержденный итог похищенных сумм.

Компания также начала меры по восстановлению, включая так называемые white-hat переводы, при которых активы выводятся из уязвимых кошельков на верифицированные адреса до того, как до них доберется злоумышленник. Итоговая обеспеченная сумма пока неизвестна.

Не все оказались в зоне поражения. Trust Wallet и стандартные аккаунты MetaMask, как было установлено, не затронуты, а аккаунты Keplr, не использовавшие социальный вход, также остались нетронутыми.

Почему кошельки с социальным входом находятся под пристальным вниманием

Встроенные кошельки с социальным входом созданы для решения одной из старейших проблем удобства в крипто: seed-фразы. Социальный вход позволяет пользователям авторизоваться так же, как в любом массовом приложении, при этом третье лицо берет на себя большую часть управления ключами, избавляя пользователя от этого.

Многие подобные решения основаны на многосторонних вычислениях (MPC). Проще говоря, MPC разделяет контроль над приватным ключом между несколькими сторонами, так что ни одна часть сама по себе недостаточна для перемещения средств. На бумаге это распределяет риск между участниками. На практике инцидент показывает, что такая схема также добавляет зависимость: если у провайдера, отвечающего за часть процесса, есть изъян, каждое приложение, построенное на нем, может унаследовать этот изъян.

Что это значит для кошельков, пользователей и разработчиков

Для разработчиков инцидент поднимает острые вопросы о риске концентрации. Когда множество кошельков подключены к одному провайдеру встроенных кошельков, единичная проблема может затронуть сразу несколько экосистем — в данном случае через одну интеграцию пострадали пользователи как Cosmos, так и Injective. Быстрое решение Keplr отключить социальные входы сыграло роль экстренного тормоза.

Для MetaMask и Consensys заверение, что у пользователей MetaMask нет признаков компрометации, будет иметь большое значение для плана интеграции в дальнейшем.

Остается несколько открытых вопросов. Первый — итоговый подсчет: приведет ли оспаривание Web3Auth цифры в 6 млн долларов к существенно иному результату. Второй — какая часть подверженной риску стоимости будет обеспечена благодаря white-hat переводам. Третий — когда и на каких условиях Web3Auth возобновит сервис встроенных кошельков, а Keplr повторно включит социальные входы.

Источник: CryptoBriefing