Уязвимость в Web3Auth, сервисе, через который пользователи Keplr входили в кошелёк с помощью Google или Apple, открыла злоумышленнику доступ к некоторым аккаунтам. Keplr сообщил о компрометации приватных ключей. Такой ключ подтверждает операции: получив его, можно переводить средства. При этом Web3Auth заявил, что заранее перенёс деньги из других уязвимых кошельков в специальные хранилища для восстановления. Поэтому пустой баланс в отдельных случаях может означать спасение средств, а не их кражу.
Проблема затронула лишь некоторые кошельки, созданные через вход Google или Apple. По словам Keplr, аккаунты, созданные с помощью фразы восстановления из 12 или 24 слов, а также аппаратные кошельки не пострадали. На время расследования Keplr приостановил вход через Google и Apple. Web3Auth сообщил, что его инфраструктурная проблема затронула и сервисы других компаний, но назвал только Keplr.
Пользователям затронутых аккаунтов Keplr советует не пополнять их и не импортировать или создавать заново на других платформах. Средства, которые не находятся в стейкинге или блокировке, следует перевести в кошелёк с фразой восстановления либо на аппаратное устройство. Сообщения в личных переписках и ссылки с предложениями «вернуть» активы могут быть мошенническими: проверять информацию нужно только по официальным каналам Keplr и Web3Auth.
Стейкинг и заблокированные активы перемещать сложнее, поэтому их защита занимает больше времени. Keplr и Web3Auth готовят способ проверить, затронут ли конкретный аккаунт. Web3Auth также опубликовал список адресов для восстановления, чтобы пользователи могли отличить его переводы от подозрительных операций. Компания отдельно предупредила: незнакомый адрес назначения сам по себе не доказывает, что деньги ушли злоумышленнику.
Технические подробности пока не раскрыты. Web3Auth описал случившееся как сбой безопасности собственной инфраструктуры, затронувший некоторые кошельки внутри приложения Keplr; Keplr назвал последствия утечкой приватных ключей. Ни одна из компаний не объяснила, как именно работала уязвимость, когда злоумышленник впервые воспользовался ею и устранён ли путь атаки.
Общий ущерб компании не назвали. Сооснователь Keplr Джош Ли в предварительной оценке сообщил, что проблема затронула около 20% аккаунтов с входом через Google и Apple, но, по его словам, эксплуатировали лишь часть из них. Компания по безопасности Web3 GoPlus оценила кражу как минимум в 1 миллион долларов, не раскрыв методику подсчёта.
Web3Auth сообщил, что спасённые средства разместили в кошельках восстановления в сетях 11 блокчейнов семейства Cosmos и восьми сетях, совместимых с Ethereum. По подсчётам аналитической компании Bitquery, к концу прошлой недели в такие кошельки перевели не менее 6,01 миллиона долларов более чем из 44 тысяч аккаунтов. Сначала Bitquery сочла эти операции кражей, затем выпустила исправленный анализ и классифицировала их как переводы для спасения средств. При этом компания не смогла подтвердить, кто контролирует адреса восстановления.
Данные Bitquery показывают, что первый такой перевод состоялся за 21 минуту до первого публичного уведомления Web3Auth. После предупреждения Keplr опустели 86% кошельков. В сообщении о восстановлении Web3Auth заявил, что переведённые средства в безопасности и компания вместе с Keplr работает над их возвратом пользователям, однако не сообщила, каким способом и когда это произойдёт.
Web3Auth приостановил работу своего сервиса встроенных кошельков, которым пользуются другие приложения. На странице статуса сервис входа по-прежнему значился как недоступный «сегодня»; календарная дата в сообщении не указана. В июне 2025 года Web3Auth приобрела Consensys, компания, стоящая за MetaMask. В объявлении о сделке говорилось, что она позволит пользователям MetaMask создавать и восстанавливать кошельки через социальные аккаунты. По итогам первичной проверки Web3Auth сообщил: «Нет доказательств того, что пользователи MetaMask пострадали».
Изображение носит иллюстративный характер
Проблема затронула лишь некоторые кошельки, созданные через вход Google или Apple. По словам Keplr, аккаунты, созданные с помощью фразы восстановления из 12 или 24 слов, а также аппаратные кошельки не пострадали. На время расследования Keplr приостановил вход через Google и Apple. Web3Auth сообщил, что его инфраструктурная проблема затронула и сервисы других компаний, но назвал только Keplr.
Пользователям затронутых аккаунтов Keplr советует не пополнять их и не импортировать или создавать заново на других платформах. Средства, которые не находятся в стейкинге или блокировке, следует перевести в кошелёк с фразой восстановления либо на аппаратное устройство. Сообщения в личных переписках и ссылки с предложениями «вернуть» активы могут быть мошенническими: проверять информацию нужно только по официальным каналам Keplr и Web3Auth.
Стейкинг и заблокированные активы перемещать сложнее, поэтому их защита занимает больше времени. Keplr и Web3Auth готовят способ проверить, затронут ли конкретный аккаунт. Web3Auth также опубликовал список адресов для восстановления, чтобы пользователи могли отличить его переводы от подозрительных операций. Компания отдельно предупредила: незнакомый адрес назначения сам по себе не доказывает, что деньги ушли злоумышленнику.
Технические подробности пока не раскрыты. Web3Auth описал случившееся как сбой безопасности собственной инфраструктуры, затронувший некоторые кошельки внутри приложения Keplr; Keplr назвал последствия утечкой приватных ключей. Ни одна из компаний не объяснила, как именно работала уязвимость, когда злоумышленник впервые воспользовался ею и устранён ли путь атаки.
Общий ущерб компании не назвали. Сооснователь Keplr Джош Ли в предварительной оценке сообщил, что проблема затронула около 20% аккаунтов с входом через Google и Apple, но, по его словам, эксплуатировали лишь часть из них. Компания по безопасности Web3 GoPlus оценила кражу как минимум в 1 миллион долларов, не раскрыв методику подсчёта.
Web3Auth сообщил, что спасённые средства разместили в кошельках восстановления в сетях 11 блокчейнов семейства Cosmos и восьми сетях, совместимых с Ethereum. По подсчётам аналитической компании Bitquery, к концу прошлой недели в такие кошельки перевели не менее 6,01 миллиона долларов более чем из 44 тысяч аккаунтов. Сначала Bitquery сочла эти операции кражей, затем выпустила исправленный анализ и классифицировала их как переводы для спасения средств. При этом компания не смогла подтвердить, кто контролирует адреса восстановления.
Данные Bitquery показывают, что первый такой перевод состоялся за 21 минуту до первого публичного уведомления Web3Auth. После предупреждения Keplr опустели 86% кошельков. В сообщении о восстановлении Web3Auth заявил, что переведённые средства в безопасности и компания вместе с Keplr работает над их возвратом пользователям, однако не сообщила, каким способом и когда это произойдёт.
Web3Auth приостановил работу своего сервиса встроенных кошельков, которым пользуются другие приложения. На странице статуса сервис входа по-прежнему значился как недоступный «сегодня»; календарная дата в сообщении не указана. В июне 2025 года Web3Auth приобрела Consensys, компания, стоящая за MetaMask. В объявлении о сделке говорилось, что она позволит пользователям MetaMask создавать и восстанавливать кошельки через социальные аккаунты. По итогам первичной проверки Web3Auth сообщил: «Нет доказательств того, что пользователи MetaMask пострадали».
