Основной затронутый актив — ATOM (Cosmos Hub). Некастодиальный криптокошелёк Keplr, широко используемый в экосистеме Cosmos, приостановил вход через Google и Apple после жалоб пользователей на несанкционированные транзакции. Инцидент не связан с кодом самого Keplr: по данным компании, проблема возникла на стороне Web3Auth — стороннего провайдера, который обеспечивает социальный вход.
Web3Auth впервые сообщил об инциденте около 21:13 UTC 6 ноября 2026 года, а Keplr опубликовал собственное заявление примерно в 04:38 UTC 7 ноября. Сооснователь Chainapsis Джош Ли оценил, что под ударом может находиться около 20% аккаунтов, созданных через Google или Apple. При этом, по его словам, только часть этих кошельков была реально использована злоумышленником, остальные могут быть восстановлены. Кошельки, созданные с seed-фразой или аппаратным ключом, не пострадали.
В воскресенье Web3Auth сообщил, что начал выводить средства из уязвимых кошельков Keplr до того, как их успел атаковать хакер, используя «тот же путь, что и оригинальный злоумышленник». В 12 адресах, которые компания назвала адресами восстановления, на момент публикации находилось около $5,6 млн. Ранее аналитическая платформа Bitquery оценивала действия атакующего примерно в $6 млн из более чем 44 000 кошельков Keplr; все восемь связанных с атакой адресов совпали с восстановительным списком Web3Auth. Большая часть выведенных средств размещена в Cosmos Hub, включая около 2,49 млн ATOM стоимостью примерно $3,3 млн. Часть ATOM была в стейкинге, и при выводе средства конвертировали в ликвидные токены, чтобы избежать 21-дневного периода разблокировки.
Keplr предупредил, что у некоторых аккаунтов баланс может отображаться как нулевой или уменьшенный из-за защитных мер, и попросил пользователей с Google- или Apple-кошельками не переводить туда новые средства, а существующие активы переместить на кошелёк с seed-фразой или аппаратным устройством. Компания также рекомендовала доверять только официальным обновлениям и игнорировать сообщения с «помощью» в восстановлении.
Точное число пострадавших и общая сумма потерь пока не раскрыты. Web3Auth приостановил работу сервиса встроенных кошельков, но заявил, что не нашёл доказательств влияния на пользователей MetaMask. Consensys, разработчик MetaMask, приобрёл Web3Auth в июне 2025 года и продвигает его под брендом MetaMask Embedded Wallets.
