Уязвимость Web3Auth затронула кошельки Keplr с входом через Google и Apple
Уязвимость в инфраструктуре Web3Auth затронула часть кошельков Keplr, созданных через вход с аккаунтом Google или Apple. Keplr сообщила о компрометации приватных ключей отдельных пользователей, GoPlus оценила кражу как минимум в $1 млн, а Bitquery зафиксировала перевод $6,01 млн более чем с 44 тыс. кошельков в адреса восстановления.
Web3Auth предоставляет Keplr механизм входа через Google и Apple. По данным Keplr, проблема не касается кошельков, созданных с помощью seed-фразы из 12 или 24 слов, а также аппаратных кошельков. Компания временно приостановила вход через Google и Apple на период расследования.
Компрометация ключей и экстренный вывод средств
Web3Auth признала инцидент в собственной инфраструктуре, затронувший отдельные встроенные кошельки в приложении Keplr. Keplr охарактеризовала последствия как утечку приватных ключей: тот, кто получил ключ, может подписывать операции и распоряжаться активами кошелька.
Чтобы опередить злоумышленника, Web3Auth вместе с разработчиком кошелька использовала тот же маршрут доступа для перевода средств из других кошельков группы риска. Активы были направлены в защищённые кошельки восстановления. Поэтому нулевой баланс затронутого адреса не обязательно означает кражу: он может быть результатом защитного перевода.
Bitquery сначала сообщила о наблюдаемых транзакциях как о хищении, но затем выпустила исправленный анализ и отнесла их к операции по спасению средств. Компания отметила, что не может самостоятельно подтвердить, кто контролирует адреса восстановления. Первые переводы, согласно данным Bitquery, прошли за 21 минуту до первого публичного уведомления Web3Auth, а 86% кошельков были опустошены уже после предупреждения Keplr.
Что известно о масштабе инцидента
Сооснователь Keplr Джош Ли в предварительной оценке указал, что проблема могла затронуть около 20% аккаунтов с входом через Google и Apple, при этом фактически эксплуатирована была только часть из них. Ни Keplr, ни Web3Auth не раскрыли технический механизм уязвимости, время первого использования атакующего маршрута и сведения о том, закрыт ли он полностью.
Web3Auth сообщила, что средства были перемещены в recovery-кошельки в 11 сетях экосистемы Cosmos и восьми EVM-совместимых сетях. Провайдер публикует список адресов восстановления, чтобы пользователи могли отличить его переводы от потенциально вредоносных. Он также предупреждает не считать незнакомый адрес доказательством действий атакующего.
Рекомендации пользователям и контекст для компаний
Keplr рекомендует владельцам аккаунтов, созданных через Google или Apple, не отправлять на них новые средства и не импортировать либо не создавать такой аккаунт повторно в других приложениях. Доступные незаблокированные и незастейканные активы следует перевести в кошелёк с seed-фразой или аппаратный кошелёк. Стейканные и заблокированные активы требуют больше времени для защиты.
Web3Auth также приостановила сервис встроенных кошельков, который используют другие приложения, а её сервис входа на момент публикации оставался недоступен. Consensys, владеющая Web3Auth после сделки июня 2025 года, заявила, что первоначальное расследование не выявило признаков влияния на пользователей MetaMask.
Для бизнеса этот случай показывает, что вход через привычный аккаунт не заменяет независимую модель хранения и восстановления криптографических ключей. Пока расследование продолжается, безопаснее разделять средства между кошельками с контролируемой seed-фразой или аппаратным ключом и ориентироваться только на официальные сообщения Keplr и Web3Auth.