Уязвимость затронула аккаунты, созданные через Google или Apple. Web3Auth и Keplr перевели доступные активы на адреса восстановления, однако точная сумма, похищенная злоумышленником, так и не была официально раскрыта.
Проблема в инфраструктуре Web3Auth привела к утечке приватных ключей ряда кошельков Keplr, созданных через социальный вход с Google или Apple. С 6 по 8 ноября 2026 года, пока часть пользователей сообщала о несанкционированных транзакциях, Web3Auth заявил о начале защитных переводов на подконтрольные адреса восстановления. Компания сообщила, что сотрудничает с Keplr для возврата средств пользователям.
Инцидент касается именно сервиса социальной авторизации, а не уязвимости кода самого кошелька Keplr или используемых блокчейнов. Согласно данным, которые The Block привёл со ссылкой на сооснователя Keplr, около 20% аккаунтов, созданных через Google или Apple, могли быть затронуты. Компания уточнила: кошельки, созданные с помощью seed-фразы или аппаратного кошелька, инцидент не затронул.
Что было переведено и где находятся средства
Web3Auth опубликовал список из 12 адресов, которые компания называет адресами восстановления. По данным The Block на 8 ноября, на этих адресах хранилось около 5,6 млн долларов в криптовалютах. Эта цифра отражает зафиксированные on-chain остатки и не является оценкой потерь от атаки.
Отдельный анализ Bitquery первоначально приписывал двум адресам около 6,01 млн долларов, переведённых с десятков тысяч кошельков. Впоследствии компания установила, что оба адреса фигурируют в списке Web3Auth как адреса восстановления. Bitquery предупреждает: компания не может проверить, кто именно контролирует эти адреса, а её подсчёт не включает кошельки, которые злоумышленник мог опустошить на другие адреса.
Две цифры нельзя напрямую сравнивать. The Block зафиксировал около 5,6 млн долларов на двенадцати адресах восстановления в момент собственной проверки, тогда как Bitquery реконструировал около 6,01 млн долларов на другом этапе и с иным набором транзакций. Часть движений, изначально интерпретированных как кражи, была связана с операциями по восстановлению, которые инициировал Web3Auth.
Сколько именно успел похитить злоумышленник до принятия контрмер, по-прежнему неизвестно. Web3Auth упоминал «первоначального злоумышленника» в коммуникациях, которые приводила пресса, однако не опубликовал итоговые данные о потерях и не раскрыл адреса, связанные с этим лицом или группой.
Роль Web3Auth в авторизации Keplr
Keplr позволяет создавать кошельки как через seed-фразу, так и через социальный вход с Google или Apple. В последнем случае управление доступом и генерация ключа осуществляются через Web3Auth, поставщика инфраструктуры для встроенных кошельков. Приватный ключ авторизует транзакции: если он скомпрометирован, тот, кто им владеет, может подписывать операции и перемещать связанные активы.
Это различие принципиально важно. Блокчейн фиксирует транзакции, но сам по себе не объясняет, кто их авторизовал и был ли перевод совершён злоумышленником или командой восстановления. Bitquery сообщает, что часть переводов на адреса, впоследствии включённые в список Web3Auth, началась ещё до первого публичного заявления компании. Хронология сама по себе не позволяет приписать каждое движение конкретному субъекту.
Keplr приостановил вход через Google и Apple и попросил пользователей с социальными аккаунтами не пополнять кошельки. Компания также разграничила эти аккаунты и те, что созданы с seed-фразой или аппаратным кошельком: последние не затронуты. Техническая причина утечки, точное количество пострадавших аккаунтов и полная процедура возврата средств на момент публикации доступных материалов так и не были раскрыты.
Что остаётся выяснить
По сути, инцидент оставляет открытыми три операционных вопроса. Первый: какова техническая причина уязвимости в инфраструктуре Web3Auth и каким образом ключи стали доступны посторонним. Второй: каков итоговый баланс средств, перемещённых пользователями, возможными злоумышленниками и командами реагирования. Третий касается возврата: Web3Auth заявил о совместной работе с Keplr над планом восстановления, однако ни конкретных сроков, ни полной индивидуальной процедуры в доступных материалах описано не было.
Адреса, опубликованные как адреса восстановления, наблюдаемы on-chain, но их остаток не означает завершённого возврата. До фактической передачи пользователям эти активы остаются на отдельных адресах, а их доступность зависит от методов хранения и перевода, применяемых вовлечёнными сторонами.
Что это означает для пользователей в странах СНГ
Имеющиеся коммуникации не указывают на географическое распределение затронутых аккаунтов и не позволяют установить, сколько русскоязычных пользователей пострадало. Риск зависит от метода, которым был создан кошелёк: предупреждение Keplr касается аккаунтов, настроенных через Google или Apple, тогда как аккаунты с seed-фразой или аппаратным кошельком были указаны как не затронутые инцидентом.
Различие между компрометацией ключей и утечкой персональных данных актуально и для пользователей в странах СНГ, которые активно используют Keplr для работы с сетями Cosmos и связанными DeFi-протоколами. Если вы используете Keplr, отслеживайте исключительно обновления на официальных каналах компании и следуйте инструкциям для вашего конкретного аккаунта. На данном этапе особенно важно не доверять нежелательным сообщениям, обещающим возврат средств или запрашивающим приватные ключи, seed-фразы или предоплату: никакие независимые данные не подтверждают, что сторонние лица могут ускорить возврат средств. Тема целенаправленных фишинговых атак хорошо задокументирована после аналогичных инцидентов в отрасли.
Web3Auth и Keplr: кратко
Что подтверждено и что ещё предстоит проверить
- Подтверждено: уязвимость Web3Auth раскрыла ряд ключей кошельков Keplr, созданных через Google или Apple; начаты переводы на адреса восстановления.
- Не раскрыто: полная техническая причина, точное количество затронутых аккаунтов и сумма потерь, приписываемых злоумышленнику.
- За чем следить: план возврата средств пользователям и отчёт о переводах восстановления.
Широкий контекст
Этот эпизод обнажает уязвимое место кошельков с социальной авторизацией: упрощённый пользовательский опыт может зависеть от сторонней инфраструктуры, участвующей в управлении ключами. Это риск иного рода, нежели утечки коммерческих данных, однако оба типа инцидентов демонстрируют, насколько важны сервисы, окружающие цифровое хранение активов. Удобство входа через социальные сети не устраняет необходимости защищать процесс, обеспечивающий подпись транзакций.
Экстренное реагирование также усложнило интерпретацию on-chain данных: Web3Auth заявил, что использовал тот же технический путь, что и злоумышленник, чтобы защитить активы, ещё остававшиеся в уязвимых кошельках. Поэтому аномальный перевод сам по себе не доказывает кражу. Для корректного анализа необходимы верифицированные адреса, полная хронология и отчёт о фактически возвращённых средствах.
