BeInCrypto에 따르면, Web3Auth의 소셜 로그인 인프라와 연계된 보안 침해로 구글 또는 애플 계정을 사용해 만든 Keplr 지갑이 위협받았습니다. 11월 6일 Web3Auth는 문제를 감지하고 임베디드 지갑 서비스를 중단하고 로그인 시스템을 점검 중이라고 발표했습니다. 다음 날 회사는 취약점이 자체 백엔드에 있음을 확인했으며, 이 결함이 일부 Kepr 지갑을 노출시켰다고 밝혔습니다. Keplr는 구글·애플 로그인을 비활성화했으며, 복구 구문이나 하드웨어 장치로 생성된 지갑은 영향을 받지 않았다고 전했습니다.

Scope of the breach

온체인 분석 업체 Bitquery는 8개의 코스모스 기반 체인에서 약 44,700개의 영향을 받은 Keplr 지갑을 확인했으며, 탈취된 자산 총액이 600만 달러를 초과했다고 밝혔습니다. 가장 큰 단일 손실은 약 32만 5천 달러에 달했습니다. 이번 침해는 Web3Auth의 소셜 로그인 기능을 이용해 지갑을 만든 사용자에게 주로 발생했으며, 이는 올해 초 Leap Wallet이 종료된 이후 인기가 높아진 방식이었습니다.

Recovery efforts and disputed figures

Web3Auth는 공격자가 접근하기 전에 취약 지갑에서 자금을 이동시키기 위해 파트너와 함께 화이트햇 작전을 전개했으며, 동일한 접근 경로를 사용했습니다. 이후 회사는 Injective, dYdX, Babylon, Axelar, Saga, Agoric 및 8개의 EVM 체인 등 여러 플랫폼에 검증된 복구 주소 목록을 공개했습니다. 일부 주소는 Bitquery가 도난과 연결한 콜렉터 지갑과 키를 공유하고 있어, 해당 전송이 복구된 자산인지 해킹의 일부인지 혼란이 있었습니다. Crypto Briefing은 Web3Auth가 600만 1천 달러 규모의 도난 추정치를 부인하고, 자금이 자체 복구 지갑으로 이동했으며 도난이 아니라고 보도했습니다. Web3Auth는 정확한 회수 금액을 공개하지 않았지만, 복구된 자산은 안전하며 Keplr와 협력해 정당한 소유자에게 반환할 것이라고 밝혔습니다.

Community response and next steps

코스모스 생태계의 다른 프로젝트들, 예를 들어 PancakeSwap은 사용자들의 자금과 스마트 계약이 여전히 안전하다고 안심시켰습니다. Web3Auth는 또한 가짜 복구 지원을 제공하는 사기꾼에 대해 경고했습니다. 이번 사건은 2026년 발생한 일련의 고위험 보안 사건에 추가된 사례로, 북한 해킹 캠페인에 의한 76억 1천만 달러 도난 및 1,400개 이상의 Qubic 지갑이 비워진 공격 등이 있습니다.

What to watch next

관찰자들은 Web3Auth와 Keplr가 복구된 자산을 어떻게 반환할지, 추가 취약 지갑이 발견되는지를 주시할 것입니다. 전체 가상자산 커뮤니티는 소셜 로그인 기반 지갑 생성 솔루션을 면밀히 검토해 보안 감사를 강화하거나 대체 온보딩 방식을 모색할 가능성이 높습니다.