Menurut BeInCrypto, pelanggaran keamanan yang terkait dengan infrastruktur login sosial Web3Auth mengkompromikan dompet Keplr yang dibuat menggunakan akun Google atau Apple. Pada 6 November, Web3Auth menghentikan layanan dompet terintegrasinya dan menempatkan sistem login dalam pemeliharaan setelah mendeteksi masalah tersebut. Keesokan harinya perusahaan menelusuri kerentanan ke backend mereka sendiri, mengonfirmasi bahwa celah tersebut telah mengekspos sebagian dompet Keplr. Keplr menanggapi dengan menonaktifkan login Google dan Apple, sambil menyatakan bahwa dompet yang dibuat dengan frase pemulihan atau perangkat keras tidak terpengaruh.

Lingkup pelanggaran

Firma analitik on‑chain Bitquery mengidentifikasi sekitar 44.700 dompet Keplr yang terdampak di delapan rantai berbasis Cosmos, dengan total nilai aset yang dikuras melebihi $6 juta. Kerugian tunggal terbesar tercatat sekitar $325.000. Pelanggaran ini terutama memengaruhi pengguna yang mengandalkan fitur login sosial Web3Auth untuk membuat dompet mereka, metode yang semakin populer setelah penutupan Leap Wallet awal tahun ini.

Upaya pemulihan dan angka yang diperdebatkan

Web3Auth meluncurkan operasi white‑hat bersama mitra untuk memindahkan dana dari dompet yang rentan sebelum penyerang dapat mengaksesnya, menggunakan jalur akses yang sama. Perusahaan kemudian mempublikasikan daftar alamat pemulihan terverifikasi di beberapa platform, termasuk Injective, dYdX, Babylon, Axelar, Saga, Agoric, dan delapan rantai EVM. Beberapa alamat tersebut berbagi kunci dengan dompet kolektor yang dihubungkan Bitquery dengan pencurian, menimbulkan kebingungan apakah transfer tersebut merupakan aset yang dipulihkan atau bagian dari peretasan. Crypto Briefing melaporkan bahwa Web3Auth menolak perkiraan pencurian $6,01 juta, menyatakan bahwa dana tersebut dipindahkan ke dompet pemulihan mereka sendiri, bukan dicuri. Web3Auth belum mengungkapkan jumlah pasti yang diamankan, namun menyatakan aset yang dipulihkan aman dan sedang bekerja sama dengan Keplr untuk mengembalikannya kepada pemilik sah.

Respons komunitas dan langkah selanjutnya

Proyek lain dalam ekosistem Cosmos, seperti PancakeSwap, menegaskan bahwa dana dan kontrak pintar pengguna tetap aman. Web3Auth juga memperingatkan pengguna tentang peniru yang menawarkan bantuan pemulihan palsu. Insiden ini menambah deretan peristiwa keamanan profil tinggi pada 2026, termasuk kampanye peretasan Korea Utara yang mencuri $7,61 miliar dan serangan yang mengosongkan lebih dari 1.400 dompet Qubic.

Apa yang harus dipantau selanjutnya

Pengamat akan memantau bagaimana Web3Auth dan Keplr berkoordinasi dalam pengembalian aset yang dipulihkan serta apakah dompet rentan tambahan akan teridentifikasi. Komunitas kripto secara luas kemungkinan akan meneliti kembali solusi login sosial untuk pembuatan dompet, yang dapat mendorong audit keamanan lebih ketat atau metode onboarding alternatif.

Sumber

Artikel ini disiapkan oleh redaksi COINMAG dari laporan yang tercantum di atas.