Провайдер криптокошельков Web3Auth сообщил, что перевел цифровые активы из уязвимых кошельков Keplr на безопасные адреса восстановления после инцидента с раскрытием приватных ключей у части пользователей, входивших через Google или Apple. По данным компании, на 12 проверенных адресах восстановления, опубликованных 8 ноября, находится около $5,6 млн. Web3Auth подчеркивает, что эти транзакции были защитной операцией, а не дополнительной кражей.
Ранее аналитическая платформа Bitquery оценивала ущерб примерно в $6,01 млн: атакующий вывел средства более чем с 44 тыс. затронутых кошельков Keplr. Однако восемь адресов, которые изначально связывали с хакером, позже оказались в списке адресов восстановления Web3Auth. Это усложняет окончательную оценку: часть средств могла быть не похищена, а перемещена самой компанией для защиты.
Инцидент затронул сети и активы экосистемы Cosmos: адреса восстановления покрывают Cosmos Hub (ATOM), Osmosis (OSMO), Celestia (TIA), Akash (AKT), Noble, Injective (INJ), dYdX (DYDX), Babylon, Axelar (AXL), Saga (SAGA) и Agoric, а также EVM-адрес для еще восьми сетей. По данным Bitquery, под угрозой находились 44 041 адрес в семи сетях Cosmos и 7 603 адреса в Injective. Около 1,96 млн ATOM в стейкинге были перемещены с использованием ликвидного стейкинга без стандартного 21-дневного периода разблокировки.
Уязвимость возникла в инфраструктуре Web3Auth, а не в приложении Keplr. Сооснователь Keplr Джош Ли оценил, что примерно 20% аккаунтов, созданных через социальные логины, могли быть подвержены риску, хотя реально эксплуатирована лишь часть. Keplr приостановил вход через соцсети и рекомендовал пользователям не пополнять потенциально уязвимые счета и перевести ликвидные средства на кошельки с резервной фразой или аппаратные устройства.
Web3Auth и Keplr работают над возвратом активов, но пока не раскрыли ни точную сумму подтвержденных потерь, ни сроки компенсаций, ни технический отчет о причинах уязвимости. Компании также предупредили о мошенниках, предлагающих «помощь» с возвратом средств. Consensys приобрела Web3Auth в июне 2025 года, однако в Web3Auth заявили, что пользователи MetaMask не пострадали от этой уязвимости. Инцидент напоминает, что уязвимость в общей инфраструктуре встроенных кошельков может затронуть тысячи аккаунтов сразу, не компрометируя сами блокчейн-сети.
