現已併入 Consensys 旗下 MetaMask 的嵌入式錢包供應商 Web3Auth，在發現重大安全問題後，已暫時停止其嵌入式錢包服務。該公司表示，沒有證據顯示 MetaMask 用戶受到影響。但在其基礎設施上建置的服務則未必同樣幸運：Cosmos 生態系中廣泛使用的錢包 Keplr 已因此停用其 Google 與 Apple 登入選項。

暫停措施於 2026 年 11 月 6 日約 21:13 UTC 生效。據 Web3Auth 表示，此番關閉是為了調查該問題可能造成的影響。事件對第三方整合方的衝擊最大，其中首當其衝的就是 Keplr。

事件如何波及 Keplr

Keplr 依賴 Web3Auth 提供社群登入功能，讓用戶能以 Google 和 Apple 帳戶登入，而無須自行管理助記詞。Keplr 回報約自 11 月 6 日起出現未經授權的交易，與 Web3Auth 標記問題的日期相同。在將問題追溯至 Web3Auth 後，Keplr 於 11 月 7 日停用其 Google 與 Apple 登入選項，以限制進一步風險。

並非所有 Keplr 用戶都受到波及。根據與該事件相關的數據，依賴社群登入的 Keplr 用戶中約有 20% 可能受到影響。此模式顯示風險與社群登入流程本身相關。

與該入侵事件相關的區塊鏈追蹤數據顯示約有 600 萬美元資金流出，來自超過 44,000 個 Cosmos 地址及約 7,600 個 Injective 地址。Web3Auth 已對該損失數字提出異議，因此 600 萬美元應被視為根據鏈上資金流向得出的估計值，而非被竊資金的確切統計。

該公司也已開始採取復原措施，包括所謂的白帽轉移，即在攻擊者動手前將資產從易受攻擊的錢包轉移至經過驗證的地址。透過這些行動保住的總金額目前尚不清楚。

並非所有人都處於影響範圍內。Trust Wallet 與標準 MetaMask 帳戶被確認未受影響，未使用社群登入的 Keplr 帳戶也未受到任何波及。

為何社群登入錢包受到嚴格檢視

支援社群登入的嵌入式錢包是為了解決加密貨幣最古老的使用體驗難題之一：助記詞。社群登入讓用戶像使用一般主流應用程式那樣登入，而第三方會在幕後處理大部分金鑰管理工作，用戶無須親自操勞。

許多這類架構依賴多方計算（MPC）。簡單來說，MPC 將私鑰的控制權分散給多方，因此任何單一片段都不足以獨立轉移資金。理論上，這樣可以分散風險。但實務上，這次事件凸顯了此種安排也帶來依賴性：若處理部分流程的供應商存在缺陷，建置在其上的每一個應用程式都可能繼承該缺陷。

這對錢包、用戶與開發者意味著什麼

對開發者而言，此事件引發了對集中風險的尖銳質疑。當眾多錢包都接上同一個嵌入式錢包供應商時，單一問題可能同時波及多個生態系——此次事件即透過單一整合，同時影響了 Cosmos 與 Injective 用戶。Keplr 迅速停用社群登入的決定，實際上發揮了緊急煞車的作用。

對 MetaMask 與 Consensys 而言，「MetaMask 用戶沒有遭入侵跡象」的保證，將對其整合計畫的推進產生重大影響。

仍有幾個未解問題值得關注。第一是最終結算：Web3Auth 對 600 萬美元數字的異議，是否會導致明顯不同的數字。第二是白帽轉移能成功保住多少暴露的價值。第三是 Web3Auth 何時以及在何種條件下恢復其嵌入式錢包服務，以及 Keplr 何時重新開啟社群登入。

來源：CryptoBriefing