8 ноября 2026 года криптовалютное сообщество потрясла новость о масштабном взломе популярного кошелька Keplr, специализирующегося на экосистеме Cosmos. Инцидент затронул пользователей, создавших кошельки через социальную аутентификацию Google и Apple, в то время как владельцы seed-фраз и аппаратных кошельков остались в безопасности. Причиной стала критическая уязвимость в инфраструктуре Web3Auth — стороннего провайдера аутентификации, принадлежащего Consensys.
Первые сообщения о несанкционированных транзакциях появились 6 ноября 2026 года, когда пользователи Keplr начали замечать исчезновение средств со своих кошельков. К 7 ноября команда Keplr официально подтвердила инцидент, связав его с проблемами безопасности в инфраструктуре Web3Auth. Соучредитель Keplr Джош Ли пояснил, что взлом не был результатом компрометации кода самого кошелька — проблема возникла на стороне внешнего провайдера аутентификации.
Web3Auth, принадлежащий Consensys, временно приостановил работу сервиса встроенных кошельков и начал расследование. Компания подтвердила, что пользователи MetaMask не пострадали, но не опубликовала полный список других затронутых провайдеров кошельков. Техническая точка входа, через которую были скомпрометированы приватные ключи, публично не раскрывалась.
Блокчейн-аналитическая компания Bitquery отследила переводы на сумму около $6.01 миллиона, включая 1.96 миллиона застейканных ATOM, перемещенных через токенизацию стейкинг-долей без прохождения стандартного 21-дневного периода анбондинга. Однако Web3Auth оспаривает эту оценку, утверждая, что часть средств была спасена в ходе whitehat recovery операций.
8 ноября Web3Auth объявила о начале whitehat recovery операций совместно с командой Keplr для защиты средств на уязвимых аккаунтах до того, как злоумышленники смогут их вывести. Компания опубликовала список верифицированных адресов восстановления, охватывающих одиннадцать сетей Cosmos и восемь EVM-совместимых цепочек.
В опубликованный список вошли адреса для сетей Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX, Babylon, Axelar, Saga и Agoric. Для EVM-цепочек был указан единый адрес восстановления 0x413e4F4De7E5FF010913488F781E679e76f706dA. Web3Auth объяснила, что команды восстановления используют тот же технический маршрут, который был эксплуатирован во время инцидента, из-за чего некоторые защитные транзакции были ошибочно приняты за дополнительные кражи.
Keplr предупредила пользователей, что некоторые кошельки с Google и Apple логином могут отображать уменьшенные или нулевые балансы из-за этих защитных мер. Застейканные и заблокированные активы требуют более сложных процедур восстановления, поэтому работа может занять дополнительное время. Джош Ли ранее заявлял, что большинство потенциально затронутых аккаунтов все еще могут быть восстановлены, хотя компания не объявила окончательную сумму обеспеченных или возвращенных пользователям средств.
Инцидент затронул исключительно пользователей, создавших кошельки Keplr через социальную аутентификацию Google или Apple. По оценкам соучредителя Keplr Джоша Ли, под угрозой оказались примерно 20% аккаунтов с социальным логином на платформе, хотя лишь часть из них была фактически эксплуатирована. Пользователи, использовавшие seed-фразы или аппаратные кошельки для создания аккаунтов, не пострадали.
Компания Keplr рекомендовала пользователям с социальным логином воздержаться от отправки дополнительных средств на потенциально скомпрометированные аккаунты и перевести оставшиеся ликвидные активы на кошельки с seed-фразами или аппаратные устройства. Пользователей также предупредили о фишинговых сообщениях и ссылках, предлагающих помощь в восстановлении активов.
Web3Auth пообещала продолжать публиковать верифицированные адреса восстановления по мере продвижения расследования и предупредила пользователей о мошенниках, предлагающих фальшивую помощь в восстановлении. Компания не объявила сроки возврата всех обеспеченных средств затронутым пользователям. Keplr также не публично установила, получат ли пострадавшие клиенты компенсацию за подтвержденные потери.
Инцидент с Keplr и Web3Auth подчеркивает фундаментальные риски использования социальной аутентификации для управления криптокошельками. Хотя вход через Google или Apple удобен и снижает барьер входа для новых пользователей, он создает единую точку отказа, компрометация которой может привести к потере всех связанных средств. Эксперты по безопасности давно предупреждают о рисках централизованных систем аутентификации в децентрализованном мире.
Для максимальной защиты криптоактивов рекомендуется использовать аппаратные кошельки или программные кошельки с seed-фразами, хранящимися в безопасном месте. Двухфакторная аутентификация, уникальные пароли и регулярный мониторинг активности аккаунтов остаются базовыми принципами цифровой гигиены. При использовании сервисов с социальной аутентификацией важно понимать связанные риски и держать на таких аккаунтах только небольшие суммы для повседневных операций.
Этот инцидент также поднимает вопросы об ответственности сторонних провайдеров инфраструктуры в криптоэкосистеме. Web3Auth обеспечивает аутентификацию для множества приложений, и уязвимость в их системе может иметь каскадные последствия для всех интегрированных сервисов. Разработчикам следует тщательнее оценивать риски использования внешних провайдеров и реализовывать дополнительные уровни защиты для критически важных операций.
"Безопасность в криптовалютах — это не продукт, который вы покупаете, а процесс, который вы поддерживаете. Каждый раз, когда вы доверяете свои ключи третьей стороне, вы создаете точку отказа, которая может стоить вам всего."
По мере развития расследования и завершения whitehat recovery операций станет яснее окончательный масштаб ущерба и эффективность принятых мер. Для криптоиндустрии этот инцидент служит напоминанием о том, что удобство не должно компрометировать безопасность, а децентрализация требует соответствующего уровня личной ответственности за управление приватными ключами.
