Web3Auth 表示，其已搶在攻擊者抽乾資金之前，將約 560 萬美元的用戶資產移出 Keplr 錢包，並稱其在其所支援的錢包金鑰基礎設施中發現一處暴露風險，且已採取預防性行動以保護用戶資金。該公司的說法尚未經獨立驗證，且截至撰寫本文時，尚未發布任何技術性事後分析報告或鏈上確認。

Web3Auth 對事件的說明

根據 The Block 的報導，Web3Auth 表示其發現一項影響依賴其金鑰基礎設施之 Keplr 錢包的漏洞，隨後在任何攻擊者得以行動之前，將約 560 萬美元的用戶資產轉移。該公司將此操作形容為「搶跑」潛在的攻擊——這一術語借自 MEV（最大可提取價值）機制，意指與對手競爭以率先執行交易。在此語境下，該術語表示 Web3Auth 搶在任何對抗性交易之前執行了其轉移，而非在資產被竊後試圖追回資金。

Web3Auth（前身為 Torus）為多種 Web3 應用程式提供社交登入與金鑰管理基礎設施；其官方網站為 web3auth.io。Keplr 是一款由 Chainapsis 開發的瀏覽器擴充錢包，主要用於與 Cosmos 生態系鏈互動，包括 Cosmos Hub 及其他基於 Cosmos SDK 的網路。兩種產品之間的關係意味著，Web3Auth 端在金鑰衍生託管方面的缺陷，可能影響透過社交登入（而非自行管理助記詞）進行身分驗證的 Keplr 用戶。

該公司所述的相關行動

Web3Auth 聲稱其執行了一次保護性資產掃蕩，將受影響錢包中的全部 560 萬美元轉移以防止損失。受影響錢包的數量、具體受影響的鏈、被轉移資金的目標地址、用戶是否事先獲得通知，以及此次掃蕩相對於任何攻擊者活動的時間點，目前在現有報導中均未獲證實。

目前沒有任何區塊瀏覽器數據可用於佐證轉移規模或目的地。在沒有交易雜湊值或錢包地址的情況下，僅憑公開報導無法獨立核實 560 萬美元這一數字以及資金目前的去向。

為何預防性資金轉移是一項重大風險事件

當錢包供應商在沒有用戶發起交易的情況下移動用戶資金時，這直接引發了對其所採用託管模式的質疑。如果 Web3Auth 單方面持有或能夠重建私鑰，這對社交登入錢包架構而言屬於設計使然，但這也意味著該供應商擁有用戶可能尚未完全理解其已授予的簽名權限。此類架構通常採用多方計算（MPC）技術，將金鑰材料分割為由不同方持有的份额，其設計旨在確保任何單一方——無論是用戶還是供應商——都不會單獨持有完整的私鑰，因此實際的託管安全性取決於金鑰份额的分配與重建方式。

DeFi 技術堆疊日益依賴錢包抽象層、社交復原以及金鑰管理服務來降低入門門檻。這些設計上的權衡是合理的，但此類事件釐清了實際的信任範圍：依賴第三方金鑰基礎設施的非託管錢包用戶，會以有別於純粹自主託管（單一助記詞完全由持有人掌控）的方式，暴露於該供應商的安全態勢與營運決策之下。這種權衡並非理論：錢包層級的基礎設施事故在業界已有先例，包括 2022 年的 Slope 錢包資料外洩事件——用戶的助記詞被集中式日誌服務擷取，以及 2023 年 Ledger Connect Kit JavaScript 函式庫遭入侵事件——該函式庫向與受影響前端互動的錢包提供了惡意程式碼。

通報的風險暴露與已確認的損失

Web3Auth 的表述意味著資金曾處於風險之中但並未損。這一區別對於評估協議風險至關重要。如果該公司成功搶跑了攻擊者，且全部 560 萬美元仍可由用戶取回，則此事件屬於一次未遂攻擊，而非已實現的漏洞利用。

在此階段，尚無獨立來源證實任何一種結果。該說法僅來自單一方：即其金鑰管理被指涉的基礎設施供應商。用戶回報、Keplr 自身的揭露，或與所述轉移相對應的鏈上數據，均能為任一情境提供更有力的證據。

尚待確認的事項

多項能夠佐證 Web3Auth 說法的事實目前在現有報導中闕如。每一項都是讀者可在事件發展過程中持續追蹤的未解問題。

• 根本原因揭露。 暴露風險的性質為何——是金鑰外洩、簽名服務遭入侵，還是金鑰衍生中的邏輯缺陷？若無此資訊，便無法評估處於風險中的錢包範圍。
• 受影響錢包數量。 有多少個 Keplr 錢包受到暴露？560 萬美元這一數字意味著涉及特定的一批錢包，但目前尚未公布任何數量。
• 鏈上交易數據。 顯示轉帳量、來源錢包、目標地址與時間戳記的區塊瀏覽器紀錄，將可對金額以及相對於任何攻擊者活動的時間線進行獨立核實。
• 資金歸還狀態。 被轉移的資金現在位於何處——是已歸還給用戶、保存在多簽錢包中，還是存入復原合約？只有當資金歸還有據可查時，此次掃蕩的保護性意圖才完全可信。
• Keplr 的獨立聲明。 作為受影響用戶所使用的錢包介面，Keplr 自身的揭露將為事件敘述增添重要分量。目前在現有來源中尚未證實 Keplr 有任何單獨聲明。

這些細節的缺席並不意味著 Web3Auth 的說法不實，但確實意味著此事件目前僅是來自最有可能將結果描述為保護性成功之當事方的單一說法。對於建構在 Web3Auth 金鑰基礎設施上的應用程式，其協議風險評估應將此視為一項尚未結案的安全事件，直到完整的事後分析報告發布為止。

對於錢包可能受影響的用戶而言，最直接的行動是透過 Cosmos 鏈瀏覽器核實資金餘額，並密切關注 Web3Auth 與plr 雙方的官方通訊。社交登入架構中的錢包安全，取決於底層金鑰管理層的透明度與事件回應品質，而此次事件將成為這項持續評估中的一個數據點。

來源：DefiLiban — Web3Auth Says It Moved $5.6M From Exposed Keplr Wallets