Web3Auth Keplr уязвимость: компания переместила 5,6 млн долларов в recovery-кошельки

6–8 ноября 2026 года Web3Auth устранила уязвимость в своей инфраструктуре, которая затрагивала Keplr-кошельки, созданные через социальный вход Google или Apple. Компания самостоятельно перевела активы на сумму около 5,6 млн долларов в 12 recovery-адресов. Keplr не подвергался взлому, проблема возникла у стороннего провайдера.

Ход инцидента и технические детали

Сообщения о несанкционированных транзакциях появились около 6 ноября. Web3Auth приостановила работу сервиса embedded wallet в 21:13 UTC 6 ноября. Позднее компания описала действия как whitehat recovery: средства перемещали тем же техническим путём, которым пользовался злоумышленник. Часть переводов изначально приняли за кражу.

Уязвимости подверглись только аккаунты с социальным входом — примерно 20 % пользователей Keplr, входивших через Google или Apple. Кошельки, созданные через seed-фразу или аппаратные устройства, остались нетронутыми. Keplr приостановила вход через Google и Apple 7 ноября. По данным Bitquery, пострадало более 44 тыс. адресов в Cosmos и около 7,6 тыс. в Injective.

На 8 ноября recovery-адреса содержали около 5,6 млн долларов. Значительную часть составили активы Cosmos Hub — примерно 2,49 млн ATOM на 3,3 млн долларов, включая застейканные токены, которые конвертировали для перемещения. Адреса охватывают сети Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX, Babylon, Axelar, Saga и Agoric, а также один EVM-адрес.

Заявления компаний и действия пользователей

Web3Auth подтвердила наличие проблемы в своей инфраструктуре и заявила, что средства в recovery-кошельках находятся в безопасности. Компания сотрудничает с Keplr по возврату активов. Keplr соучредитель Josh Lee подчеркнул, что инцидент не затронул код кошелька, а возник у Web3Auth. По его оценке, только часть уязвимых аккаунтов подверглась эксплуатации.

Пользователям, входившим через Google или Apple, рекомендуется не отправлять новые средства на затронутые адреса, перевести оставшиеся ликвидные активы в кошельки с seed-фразой или аппаратные устройства и не импортировать заново старые аккаунты. Застейканные активы требуют дополнительного времени на вывод. Официальные каналы Keplr и Web3Auth остаются единственными источниками информации.

Keplr поддерживает экосистему Cosmos и насчитывает более 2 млн пользователей по состоянию на 2025 год. Web3Auth предоставляла сервис управления ключами для социального входа. Корневая причина уязвимости и точный объём потерь злоумышленников на 9 ноября не опубликованы. Дальнейшие детали по процессу возврата и верификации пользователей ожидаются после завершения операций.