У части пользователей Keplr, создавших кошелёк через вход с аккаунтом Google или Apple, похитили средства после компрометации инфраструктуры Web3Auth. Keplr использует Web3Auth для этого способа авторизации.
Web3Auth и разработчик Keplr сообщили об инциденте в конце прошлой недели. По заявлению Keplr, уязвимость привела к утечке закрытых ключей у части пользователей, входивших через Google или Apple. Владение таким ключом позволяет подписывать операции и переводить активы с кошелька.
Технические подробности пока не раскрыты. Компании не сообщили, как работала уязвимость, когда злоумышленник впервые воспользовался ею и закрыт ли канал доступа на данный момент.
Какие кошельки затронуты
По данным Keplr, инцидент не касается кошельков, созданных с фразой восстановления из 12 или 24 слов, а также аппаратных кошельков. Вход через Google и Apple временно приостановлен на время расследования.
Сооснователь Keplr Джош Ли предварительно оценил масштаб: проблема могла затронуть около 20% аккаунтов, созданных через Google и Apple. При этом, по его словам, злоумышленник, по-видимому, использовал доступ лишь против небольшой части таких аккаунтов.
Отдельной оценки числа пострадавших или риска для организаций и пользователей в России и СНГ в доступных сообщениях нет.
Почему на части адресов мог появиться нулевой баланс
Web3Auth заявила, что воспользовалась тем же каналом доступа, которым располагал злоумышленник, чтобы вывести активы с других потенциально уязвимых кошельков раньше него. Средства при участии разработчика Keplr перевели в резервные кошельки для безопасного хранения.
Поэтому нулевой баланс затронутого кошелька не обязательно означает кражу: он может быть следствием превентивного перевода. Web3Auth опубликовала перечень адресов для восстановления, который должен помочь отличать её операции от потенциально вредоносных. Компания отдельно предупредила, что незнакомый адрес назначения сам по себе нельзя считать адресом злоумышленника.
Средства направлялись в кошельки восстановления в 11 блокчейнах семейства Cosmos и восьми сетях типа Ethereum. Для команд, которым нужно фиксировать такие события, сверять источники уведомлений и оценивать применимость инструментов к требованиям своей инфраструктуры, можно обратиться к официальной странице Security Capsule SIEM для оценки применимости к требованиям инфраструктуры. В этом случае важно разделять подтверждённые переводы, заявления участников инцидента и неподтверждённые адреса.
Компания Bitquery, анализирующая блокчейн-данные, к концу прошлой недели насчитала не менее 6,01 млн долларов, переведённых из более чем 44 000 кошельков в такие адреса восстановления. Сначала Bitquery обозначила операции как кражу, но позднее выпустила исправленный анализ и расценила переводы как спасение активов. Одновременно аналитики подчеркнули, что по блокчейн-данным невозможно проверить, кто контролирует кошельки восстановления.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
Согласно расчётам Bitquery, первый такой перевод произошёл за 21 минуту до первого публичного уведомления Web3Auth. После предупреждения Keplr было опустошено 86% кошельков из этой выборки. Web3Auth заявила, что переведённые активы находятся в безопасности и что совместно с Keplr готовит их возврат владельцам; сроки и порядок возврата не раскрыты.
Оговорки о границах подтверждённого инцидента важны и при чтении связанного материала TTL. В случае с Keplr независимая проверка контроля над адресами восстановления также пока невозможна.
Что известно о похищенных средствах
Ни Web3Auth, ни Keplr не назвали общую сумму украденных активов. Компания GoPlus, специализирующаяся на безопасности Web3, в своём предупреждении оценила объём украденных активов как минимум в 1 млн долларов, но не пояснила методику расчёта.
Эта оценка не равна объёму средств, направленных в кошельки восстановления. Bitquery отдельно отнесла 6,01 млн долларов к операциям по спасению активов, хотя контроль над адресами восстановления независимо не подтверждён.
Что рекомендует Keplr
Для аккаунтов, созданных через вход с Google или Apple, Keplr рекомендует не отправлять на такой аккаунт новые средства; не импортировать этот аккаунт повторно и не создавать его в другом месте; перевести все незаблокированные и не застейканные активы на кошелёк с фразой восстановления либо аппаратный кошелёк; ориентироваться только на сообщения из официальных аккаунтов Keplr и Web3Auth; игнорировать личные сообщения и ссылки с предложениями «восстановить» средства.
Защита заблокированных и застейканных активов, по данным Keplr, потребует больше времени. Разработчик кошелька и Web3Auth также работают над способом, который позволит пользователям проверить, затронул ли инцидент конкретный аккаунт.
Риск не ограничивается Keplr
Web3Auth сообщила, что проблема затрагивает её сервисы, которыми пользуются и некоторые другие компании, однако Keplr остаётся единственным названным клиентом. Провайдер приостановил сервис встроенных кошельков, через который сторонние приложения создают кошельки для пользователей. На странице состояния сервиса на момент публикации авторизация всё ещё отмечалась как недоступная.
Web3Auth была приобретена Consensys в июне 2025 года. При объявлении сделки говорилось, что интеграция позволит пользователям MetaMask создавать и восстанавливать кошельки через социальные сети. По заявлению Web3Auth, первоначальное расследование не выявило доказательств того, что инцидент затронул пользователей MetaMask.
Практический вывод для владельцев Keplr, использовавших вход через Google или Apple: такие адреса не следует пополнять, а незаблокированные и не застейканные активы нужно вывести на кошелёк с фразой восстановления или аппаратный кошелёк. Нулевой баланс следует сверять с опубликованными Web3Auth адресами восстановления, не полагаясь на предложения о «возврате» в личных сообщениях.