Carteiras Keplr com login social afetadas por falha de segurança da Web3Auth

Falha na Web3Auth afeta algumas carteiras Keplr com login social

Alguns usuários da Keplr que criaram carteiras por meio do login com Google ou Apple foram afetados por uma falha de segurança na infraestrutura fornecida pela Web3Auth. O incidente não é descrito como um comprometimento geral de todas as carteiras Keplr: a exposição informada diz respeito a uma modalidade específica de criação de carteira. A Keplr afirma que contas criadas com uma frase de recuperação ou uma carteira de hardware não correm risco, estabelecendo uma distinção clara entre contas com login social e essas outras configurações de carteira.

A Web3Auth oferece ferramentas de login que permitem que aplicativos criem carteiras de criptomoedas por meio de contas em redes sociais. Em 6 de novembro, suspendeu seu serviço de carteira incorporada e colocou seu serviço de login em manutenção. Inicialmente, a empresa informou não haver indícios de impacto sobre usuários da MetaMask, que haviam enfrentado um incidente de segurança separado em outubro. No dia seguinte, a Web3Auth atribuiu a falha à sua própria infraestrutura e confirmou que algumas carteiras Keplr foram afetadas.

Após a confirmação, a Keplr desativou os logins do Google e da Apple. Essa medida limita o uso das opções de login afetadas, mas as informações fornecidas não dizem quando elas serão reativadas nem se todas as contas afetadas foram protegidas. A Bitquery contabilizou cerca de 44.700 carteiras Keplr afetadas em oito redes baseadas em Cosmos. A escala abrange várias redes, embora esse número não determine, por si só, quanto cada usuário perdeu ou se todas as carteiras contabilizadas foram esvaziadas.

Como o incidente afetou os usuários da Keplr

A Bitquery associou mais de US$ 6 milhões ao esvaziamento e informou que a maior perda individual foi de cerca de US$ 325.000. Esses números descrevem a atividade on-chain identificada pelo rastreamento da empresa; não devem ser interpretados como uma perda final confirmada para os usuários. A Web3Auth afirma que alguns endereços considerados carteiras de invasores são, na verdade, carteiras de recuperação da empresa. Por isso, o total divulgado pode incluir fundos transferidos para custódia, a fim de mantê-los em segurança, embora a empresa não tenha quantificado essa parcela.

A sequência dos acontecimentos é importante para entender a resposta. A Web3Auth afirma que iniciou uma operação de white hat com parceiros e retirou fundos das carteiras vulneráveis antes que o invasor conseguisse acessá-los, usando o mesmo caminho de acesso. Portanto, se observadas sem a explicação da empresa, as transferências dessas carteiras podem parecer roubos. A empresa afirma que os endereços de destino que identificou pertencem à sua operação de recuperação, mas as informações fornecidas não apresentam um registro completo, transação por transação, das transferências.

Em 8 de novembro, a Web3Auth publicou endereços verificados referentes a Injective, dYdX, Babylon, Axelar, Saga, Agoric e oito redes EVM. Vários desses endereços compartilham uma chave com carteiras coletoras que a Bitquery havia associado ao esvaziamento. Essa sobreposição ajuda a explicar por que parte da atividade foi interpretada como controlada por invasores. Por si só, porém, ela não determina o status final nem a propriedade de todos os ativos rastreados; a Web3Auth afirma que os endereços identificados são usados para recuperação.

Carteiras de recuperação complicam o cenário on-chain

A Web3Auth afirma que os fundos recuperados na operação estão seguros e que está trabalhando com a Keplr em uma forma de devolvê-los. A empresa não informou quanto do total rastreado pela Bitquery conseguiu assegurar, portanto usuários e observadores ainda não podem conciliar o valor de mais de US$ 6 milhões com os fundos mantidos em segurança. O esforço de recuperação anunciado é animador para os usuários afetados, mas o montante, o prazo e o processo exato de distribuição continuam indefinidos nas informações disponíveis.

O episódio também mostra por que pode ser difícil interpretar os rótulos de transferências de carteiras durante um incidente em andamento. Uma transferência de saída de um endereço vulnerável pode representar uma ação do invasor ou uma medida de proteção da equipe de resposta; neste caso, a Web3Auth afirma que sua equipe usou o mesmo meio de acesso que o invasor. Publicar endereços verificados oferece uma forma de identificar algumas carteiras de recuperação, mas não substitui uma prestação de contas mais completa nem confirma o destino de todos os saldos afetados.

A Web3Auth alertou os usuários sobre impostores que oferecem ajuda falsa para recuperar fundos. Esse alerta é importante numa situação em que os usuários aguardam um processo oficial de devolução e podem ser abordados por pessoas que afirmam conseguir recuperar os fundos. A empresa diz estar coordenando com a Keplr, mas a fonte não fornece instruções específicas para a recuperação nem um prazo. Os usuários devem diferenciar o esforço de recuperação anunciado das ofertas não solicitadas, em vez de tratar uma alegação informal como prova de acesso aos fundos.

Recuperação de fundos e questões mais amplas de segurança

A resposta da Keplr também é relevante para usuários que dependem do login social, em vez de uma frase de recuperação ou carteira de hardware. A equipe da carteira afirma que esses últimos tipos de conta não correm risco neste incidente, enquanto os logins com Google e Apple foram desativados após a confirmação da falha. As informações não detalham como cada conta será corrigida nem explicam se os usuários afetados precisam tomar outras medidas. A diferença na configuração da carteira é a orientação mais clara fornecida no relato do incidente.

O incidente ocorre após uma turbulência no ecossistema Cosmos no início do ano: segundo o relato fornecido, o encerramento da Leap Wallet levou muitos usuários de Cosmos a migrarem para a Keplr. Esse histórico ajuda a entender por que um problema de segurança na Keplr pode afetar toda a comunidade, mas não comprova que o encerramento da Leap tenha causado a falha ou as perdas. Outros projetos também buscaram tranquilizar os usuários; a PancakeSwap afirmou que seus fundos e contratos inteligentes continuavam seguros.

O caso da Keplr se soma a uma série mais ampla de incidentes de segurança citados no relatório, incluindo hackers norte-coreanos que roubaram US$ 7,61 bilhões em 2026 e um invasor que esvaziou recentemente mais de 1.400 carteiras Qubic. Esses exemplos mostram um contexto mais amplo de segurança, mas não indicam uma ligação com a falha do Web3Auth. As principais questões ainda sem resposta são quanto dos criptoativos monitorados era protegido pelo Web3Auth, como os ativos recuperados serão devolvidos e quando as opções de acesso desativadas poderão ser retomadas com segurança.

Fonte: BeInCrypto