Web3Auth 表示，其已在攻击者抽走资金之前，将约 560 万美元用户资产从 Keplr 钱包转出，并称其在其支持的密钥基础设施中发现一处风险暴露，提前采取行动以保护用户资金。该公司的说法尚未得到独立验证，截至本文撰写时，尚无技术复盘或链上确认发布。

Web3Auth 对事件经过的说明

据 The Block 报道，Web3Auth 发现一处影响依赖其密钥基础设施的 Keplr 钱包的漏洞，随后在任何攻击者行动之前转移了约 560 万美元的用户资产。该公司将此操作描述为对潜在攻击的“抢先执行”（front-running）——这一术语借自 MEV（最大可提取价值）机制，意指抢先于对手执行交易。在此语境下，该术语表明 Web3Auth 的转账在任何对抗性交易之前完成，而非在资金被盗后进行追回。

Web3Auth（前身为 Torus）为一系列 Web3 应用提供社交登录和密钥管理基础设施，其官网为 web3auth.io。Keplr 是一款由 Chainapsis 开发的浏览器扩展钱包，主要用于与 Cosmos 生态链交互，包括 Cosmos Hub 及其他基于 Cosmos SDK 的网络。两者产品之间的关系意味着，Web3Auth 一侧在密钥推导或托管方面的缺陷，可能影响通过社交登录而非自行管理助记词进行身份验证的 Keplr 用户。

该公司所述的报告行动

Web3Auth 声称其执行了一次保护性转移，将受影响钱包中的全部 560 万美元移出以防止损失。涉及的钱包数量、受影响的具体链、转移资金的目标地址、是否提前通知用户，以及此次转移相对于攻击者活动的时间点，现有报道中均未得到确认。

目前没有关联任何区块浏览器数据来证实转移规模或去向。在没有交易哈希或钱包地址的情况下，仅凭公开报道无法独立核实 560 万美元这一数字以及资金的当前去向。

为什么抢先转移资金是一项重大风险事件

当钱包提供商在未经用户发起交易的情况下转移用户资金时，会直接引发对所采用托管模式的质疑。如果 Web3Auth 单方面持有或能够重构私钥，这在社交登录钱包架构中是设计使然，但这也意味着该提供商拥有用户可能并未完全理解自己已授予的签名权限。此类架构通常采用多方计算（MPC）将密钥材料拆分为由不同参与方持有的份额，其设计意图是任何单一方——无论是用户还是提供商——都不独自掌握完整私钥，因此实际托管效果取决于密钥份额如何分发与重构。

DeFi 技术栈日益依赖钱包抽象层、社交恢复和密钥管理服务来降低入门门槛。这些设计权衡本身是合理的，但此类事件澄清了实际的信任面：依赖第三方密钥基础设施的非托管钱包用户，其暴露于该提供商安全态势和运营决策之下的方式，与自我托管（助记词完全由持有人独自掌控）存在差异。这种权衡并非纸上谈兵：钱包层面的基础设施故障在业内已有先例，包括 2022 年 Slope 钱包泄露事件（用户的助记词被集中式日志服务捕获），以及 2023 年 Ledger Connect Kit JavaScript 库遭入侵事件（该库向与受影响前端交互的钱包投递了恶意代码）。

报告的风险暴露与已确认的损失

Web3Auth 的表述暗示资金曾面临风险但未损失。这一区分对评估协议风险很重要。如果该公司成功抢先于攻击者，且全部 560 万美元仍可由用户取回，则该事件属于一次未遂攻击而非已实现的攻击。

目前尚无独立来源证实任何一种结果。这一说法仅来自单一一方：密钥管理受到牵连的基础设施提供商。用户报告、Keplr 自身的披露，或与所述转移对应的链上数据，都将为任一情形提供更有力的证据。

尚待确认的事项

多项能够证实 Web3Auth 说法的事实目前在报道中缺失。每一项都是读者可随着事件进展持续关注的未解问题。

• 根本原因披露。 风险暴露的性质是什么——密钥泄露、签名服务被入侵，还是密钥推导中的逻辑缺陷？没有这一点，无法评估处于风险中的钱包范围。
• 受影响钱包数量。 有多少 Keplr 钱包受到影响？560 万美元这一数字意味着涉及一组特定的钱包，但目前没有公布任何数量。
• 链上交易数据。 显示转账金额、来源钱包、目标地址和时间戳的区块浏览器记录，将可对金额以及相对于攻击者活动的时间线进行独立核实。
• 资金归还状态。 转移的资金现在在哪里——是归还给用户、保存在多签钱包中，还是存入恢复合约？只有在资金归还得到记录的情况下，此次保护性转移的意图才完全可信。
• Keplr 的独立声明。 作为受影响用户所使用的钱包界面，Keplr 自身的披露将为事件叙述增添重要分量。现有来源中尚未确认 Keplr 的单独声明。

这些细节的缺失并不意味着 Web3Auth 的说法不实，但确实意味着该事件目前是来自最倾向于将结果描述为保护性成功的一方——的单一说法。在完整复盘报告发布之前，针对基于 Web3Auth 密钥基础设施构建的应用的协议风险评估，应将其视为一项仍未了结的安全事件。

对于钱包可能受影响的用户，最直接的做法是通过 Cosmos 链浏览器核实资金余额，并关注 Web3Auth 和 Keplr 双方的官方沟通。社交登录架构中的钱包安全，取决于底层密钥管理层的透明度和事件响应质量，此次事件将作为这一持续评估中的一个参考案例。

来源：DefiLiban — Web3Auth Says It Moved $5.6M From Exposed Keplr Wallets