Keplr detiene inicios de sesión de Google y Apple tras el drenaje de $6 millones en Cosmos

Keplr ha suspendido los inicios de sesión de billeteras de Google y Apple después de que una violación de seguridad relacionada con Web3Auth expusiera las claves privadas de los usuarios, con investigadores de blockchain rastreando más de $6 millones en transferencias de más de 44,000 billeteras.

Resumen

• Keplr suspendió los inicios de sesión de billeteras de Google y Apple después de que la infraestructura de Web3Auth expusiera algunas claves privadas de los usuarios.
• Bitquery rastreó aproximadamente $6.01 millones en transferencias que involucraban más de 44,000 billeteras en las redes de Cosmos.
• El cofundador de Keplr estimó que aproximadamente el 20% de las cuentas de inicio de sesión social podrían haber estado expuestas, aunque solo una fracción fue realmente explotada.
• Web3Auth comenzó operaciones de recuperación de whitehat, advirtiendo que las transferencias protectoras podrían parecer actividades de drenaje no autorizadas.
• Keplr aconsejó a los usuarios de inicio de sesión social que movieran los activos líquidos restantes a cuentas de frase de recuperación segura o billeteras de hardware.

En su aviso de seguridad del 7 de noviembre, Keplr Wallet confirmó haber recibido informes de transacciones no autorizadas que involucraban cuentas creadas a través de inicios de sesión sociales. La compañía vinculó el incidente a Web3Auth, un proveedor de autenticación de billeteras propiedad de Consensys, y comenzó a trabajar con su equipo para investigar las cuentas afectadas.

Hemos recibido informes de transacciones no autorizadas en algunas cuentas de Keplr creadas con inicio de sesión de Google o Apple. Lo señalamos al equipo de @Web3Auth y hemos estado trabajando con ellos en la investigación desde entonces.

Basado en nuestra evaluación inicial: si creaste tu billetera Keplr... https://t.co/EoXTC9ehpP --- Keplr Wallet (@keplrwallet) 7 de noviembre de 2026

La violación ha dejado a algunos usuarios incapaces de acceder a sus billeteras a través del proceso de inicio de sesión habitual, mientras que otros han informado de fondos desaparecidos. El cofundador de Keplr, Josh Lee, estimó que aproximadamente el 20% de las cuentas de inicio de sesión de Google y Apple de la plataforma podrían estar afectadas, aunque dijo que solo una fracción había sido explotada.

Hackeo de Keplr Wallet rastreado a la violación de infraestructura de Web3Auth

El problema de seguridad se originó en la infraestructura operada por Web3Auth, que permite a los usuarios crear y acceder a billeteras de criptomonedas a través de cuentas en línea existentes sin gestionar manualmente las frases de recuperación durante la incorporación.

Lee explicó que el incidente no fue causado por un compromiso del propio código de billetera de Keplr. En cambio, las cuentas afectadas dependían de un servicio de autenticación externo que posteriormente experimentó una falla de seguridad.

"Esto no fue un hackeo del código de Keplr. El incidente se originó en Web3Auth, un proveedor que utiliza Keplr", dijo Lee.

Web3Auth posteriormente reconoció un problema de infraestructura que afectaba a ciertas billeteras integradas utilizadas por Keplr. La compañía suspendió temporalmente su servicio de billetera integrada mientras investigaba la violación e identificaba cuentas que requerían protección.

"Después de una investigación inicial, no hemos encontrado evidencia de que los usuarios de MetaMask estén afectados", dijo el proveedor.

Aunque Web3Auth admite servicios de autenticación para aplicaciones de terceros, la compañía no ha publicado una lista completa de otros proveedores de billeteras expuestos a la vulnerabilidad. No ha explicado públicamente el punto de entrada técnico que permitió que las claves privadas afectadas se comprometieran.

Datos de blockchain rastrean $6M a través de miles de billeteras

La firma de inteligencia de blockchain Bitquery rastreó aproximadamente $6.01 millones en activos a través de dos direcciones de colección asociadas con el incidente del 6 al 7 de noviembre.

Su investigación identificó 44,041 billeteras en siete redes de Cosmos, junto con 7,603 direcciones afectadas en Injective. Debido a que algunas billeteras aparecieron en múltiples redes, los investigadores estimaron aproximadamente 44,700 billeteras distintas afectadas después de tener en cuenta las direcciones superpuestas.

Cosmos Hub representó aproximadamente $3.5 millones de los activos registrados, con transferencias adicionales que involucraban a Osmosis, Celestia, Akash, Noble, Babylon, dYdX e Injective.

La investigación encontró que aproximadamente el 86% de las billeteras afectadas en las siete redes vinculadas experimentaron transferencias salientes después de que Keplr emitiera su advertencia inicial. Los investigadores registraron que las transacciones continuaban en Cosmos Hub durante su período de observación del 7 de noviembre.

Bitquery identificó transferencias que involucraban 1.96 millones de ATOM en staking, con las transacciones utilizando la tokenización de acciones de staking para mover posiciones sin completar el habitual período de desbonding de 21 días.

Sin embargo, Web3Auth posteriormente reveló que los equipos de recuperación autorizados estaban moviendo activos a través de rutas de transacción similares.

Como resultado, las transferencias registradas no pueden ser tratadas todas como pérdidas confirmadas controladas por atacantes sin distinguir las direcciones de recuperación de los destinos maliciosos.

Web3Auth comienza la recuperación de whitehat para cuentas expuestas

Con algunas cuentas vulnerables aún manteniendo criptomonedas, Web3Auth y sus socios han comenzado operaciones de recuperación whitehat para proteger los fondos antes de que los atacantes puedan acceder a ellos.

La compañía dijo que los equipos de recuperación estaban utilizando la misma ruta técnica explotada durante el incidente, lo que había causado que algunas transacciones de protección fueran confundidas con un robo adicional.

Keplr posteriormente advirtió que ciertas billeteras de inicio de sesión de Google y Apple podrían mostrar saldos reducidos o vacíos debido a esas medidas de protección. Los activos en staking y bloqueados requieren procedimientos de recuperación más complicados, lo que significa que el trabajo podría tardar más.

Lee había dicho anteriormente que la mayoría de las cuentas potencialmente expuestas podrían ser recuperables, aunque la compañía no ha anunciado una cantidad final asegurada o devuelta a los usuarios.

Keplr no ha establecido públicamente si los clientes afectados recibirán reembolsos por pérdidas confirmadas.

Keplr aconseja a los usuarios de inicio de sesión social que muevan los fondos restantes

Para los clientes que crearon billeteras utilizando frases de recuperación o dispositivos de hardware, Keplr dijo que el incidente no había afectado sus cuentas. Su última guía se refiere específicamente a las billeteras creadas a través de la autenticación de Google o Apple.

La compañía aconsejó a los usuarios de inicio de sesión social que no enviaran fondos adicionales a cuentas potencialmente comprometidas e instruyó a mover cualquier activo líquido restante a cuentas de frase de recuperación o billeteras de hardware.

Está trabajando con Web3Auth en un método para que los clientes establezcan si sus cuentas fueron afectadas. Se advirtió a los usuarios sobre mensajes y enlaces no solicitados que afirmaban ofrecer recuperación de activos.

El incidente sigue a otros fallos de seguridad en criptomonedas que involucran credenciales de billetera. En julio, crypto.news cubrió un compromiso de software de Injective que involucraba un paquete de desarrollador malicioso que expuso claves privadas y frases de recuperación.

Una vulnerabilidad de billetera Qubic en octubre también involucró la seguridad comprometida de la billetera, aunque los investigadores rastrearon ese incidente a debilidades en la generación de semillas en lugar de la autenticación social de terceros.

Web3Auth y Keplr continúan coordinando la protección y recuperación de cuentas, mientras el proveedor prepara información para distinguir las transacciones de recuperación autorizadas de las transferencias asociadas con el atacante.