По данным BeInCrypto, утечка, связанная с инфраструктурой социального входа Web3Auth, скомпрометировала кошельки Keplr, созданные через аккаунты Google или Apple. 6 ноября Web3Auth приостановил работу встроенного кошелька и поставил систему входа на техобслуживание после обнаружения проблемы. На следующий день компания отследила уязвимость до собственного бекенда, подтвердив, что ошибка затронула часть кошельков Keplr. Keplr отреагировал отключением входа через Google и Apple, заявив, что кошельки, созданные с помощью фразы восстановления или аппаратных устройств, не пострадали.

Объём утечки

Аналитическая фирма Bitquery определила около 44 700 пострадавших кошельков Keplr в восьми сетях Cosmos, а общая стоимость украденных активов превысила 6 млн $. Самая крупная отдельная потеря составила около 325 000 $. Утечка в первую очередь затронула пользователей, использовавших функцию социального входа Web3Auth для создания кошельков, метод, который стал популярнее после закрытия Leap Wallet в начале года.

Меры по восстановлению и спорные цифры

Web3Auth запустил операцию white‑hat совместно с партнёрами, переместив средства из уязвимых кошельков до того, как злоумышленники успели их получить, используя тот же путь доступа. Позже компания опубликовала список проверенных адресов восстановления на нескольких платформах, включая Injective, dYdX, Babylon, Axelar, Saga, Agoric и восемь EVM‑цепей. Некоторые из этих адресов используют те же ключи, что и кошельки‑коллекторы, связанные Bitquery с кражей, что вызвало путаницу, являются ли переводы восстановленными активами или частью взлома. Crypto Briefing сообщил, что Web3Auth оспаривает оценку кражи в 6,01 млн $, утверждая, что средства были переведены в собственные кошельки восстановления, а не украдены. Точная сумма, которую компания успела обезопасить, не раскрывается, но заявлено, что восстановленные активы находятся в безопасности и Web3Auth работает с Keplr над их возвратом владельцам.

Реакция сообщества и дальнейшие шаги

Другие проекты экосистемы Cosmos, такие как PancakeSwap, заверили пользователей, что их средства и смарт‑контракты остаются в безопасности. Web3Auth также предупредил о мошенниках, предлагающих фальшивую помощь в восстановлении. Инцидент добавил к ряду крупных инцидентов 2026 года, включая северокорейскую кампанию, укравшую 7,61 млрд $, и атаку, опустошившую более 1 400 кошельков Qubic.

Что будет дальше

Наблюдатели будут следить за тем, как Web3Auth и Keplr координируют возврат восстановленных активов и будут ли выявлены дополнительные уязвимые кошельки. Широкое криптосообщество, вероятно, усилит проверку решений социального входа для создания кошельков, что может привести к более строгим аудитам безопасности или альтернативным методам онбординга.