隶属于 Consensys 旗下 MetaMask 的内嵌钱包服务商 Web3Auth 在发现一个严重安全问题后，已暂时暂停其内嵌钱包服务。该公司表示，没有证据显示 MetaMask 用户受到影响。但并非所有基于其基础设施构建的服务都能幸免：Cosmos 生态中广泛使用的钱包 Keplr 已为此停用了其 Google 和 Apple 登录选项。

此次暂停于 2026 年 11 月 6 日约 21:13 UTC 生效。据 Web3Auth 称，关闭服务是为了调查该问题可能造成的影响。此次事件的冲击主要落在第三方集成方身上，其中首当其冲的是 Keplr。

事件如何波及 Keplr

Keplr 依赖 Web3Auth 提供社交登录功能，让用户可以使用 Google 和 Apple 账户登录，而无需管理助记词。Keplr 报告称，未授权交易大约从 11 月 6 日开始出现，与 Web3Auth 标记问题的日期相同。在将问题追溯到 Web3Auth 之后，Keplr 于 11 月 7 日停用了其 Google 和 Apple 登录选项，以限制进一步风险。

并非 Keplr 的全部用户都受到了影响。与该事件相关的数据显示，约 20% 依赖社交登录的 Keplr 用户可能受到影响。这一模式表明，风险暴露与社交登录流程本身相关。

与该安全事件相关的区块链追踪数据显示，流出资金约 600 万美元，涉及超过 44,000 个 Cosmos 地址和约 7,600 个 Injective 地址。Web3Auth 对这一损失数字提出了异议，因此 600 万美元应被理解为基于链上资金流动得出的估算值，而非经确认的被盗资金总额。

该公司还已启动恢复措施，包括所谓的白帽转账，即在攻击者触及之前，将资产从存在漏洞的钱包转移到经过验证的地址。通过这些操作保全的最终金额尚不清楚。

并非所有用户都处于事件波及范围内。Trust Wallet 和标准 MetaMask 账户均未受影响，未使用社交登录的 Keplr 账户也完好无损。

社交登录钱包为何受到审视

支持社交登录的内嵌钱包旨在解决加密领域最古老的易用性难题之一：助记词。社交登录让用户可以像使用任何主流应用一样登录，而第三方在后台处理大部分密钥管理工作，用户无需亲自操作。

许多这类方案依赖多方计算（MPC）。简单来说，MPC 将私钥的控制权分散到多个参与方，因此任何单一部分都不足以独立转移资金。从理论上讲，这分散了风险。但实践中，此次事件表明这种安排也引入了一种依赖关系：如果处理流程中某一环节的服务商存在缺陷，构建在其上的每个应用都可能继承该缺陷。

这对钱包、用户和开发者意味着什么

对开发者而言，此次事件引发了关于集中化风险的严峻问题。当众多钱包接入同一家内嵌钱包服务商时，单一问题可能同时波及多个生态系统——本次事件中，一个集成便同时影响了 Cosmos 和 Injective 用户。Keplr 迅速停用社交登录的决定实际上起到了紧急制动的作用。

对 MetaMask 和 Consensys 而言，MetaMask 用户未显示任何被攻破迹象的保证，将对该整合计划的推进起到重要作用。

仍有几个悬而未决的问题值得关注。首先是最终核算：Web3Auth 对 600 万美元数字的异议是否会导致一个明显不同的数字。其次是白帽转账能够保全多少受影响的价值。第三是 Web3Auth 将在何时、以何种条件恢复其内嵌钱包服务，以及 Keplr 何时重新启用社交登录。

来源：CryptoBriefing