Web3Auth вывела около $5,6 млн из уязвимых кошельков Keplr

Команда Web3Auth сообщила, что опередила злоумышленников и перевела средства из уязвимых кошельков Keplr на защищенные адреса. Общая сумма составила около $5,6 млн.

Update on Keplr asset recovery: As part of our ongoing response to the security incident affecting certain Keplr wallets, we have been transferring assets into secure recovery wallets, with assistance from Keplr. 🧵

— Web3Auth (@Web3Auth) November 8, 2026

Уязвимость обнаружили в инфраструктуре Web3Auth. Сервис принадлежит компании Consensys и отвечает за вход в Keplr через учетные записи Google и Apple. Злоумышленники получили доступ к закрытым ключам части пользователей.

Сооснователь Keplr Джош Ли подчеркнул, что код самого кошелька не взламывали. По его оценке, проблема затронула примерно 20% аккаунтов, созданных через Google или Apple, но хакеры воспользовались лишь частью из них.

Пользователи, которые создавали кошельки с помощью сид-фразы или аппаратного устройства, не пострадали, заявили в Keplr.

6 ноября Web3Auth отключила сервис встроенных кошельков, а на следующий день начала операцию по защите активов. Команда заходила в уязвимые аккаунты тем же способом, что и злоумышленник, и переводила средства на специальные адреса, чтобы позже вернуть их владельцам.

8 ноября компания опубликовала 12 таких адресов. Больше всего средств на них пришлось на Cosmos Hub — около 2,49 млн ATOM стоимостью $3,3 млн. Многие монеты лежали в стейкинге. Чтобы не ждать 21 день до вывода, команда обменяла их на ликвидные токены, которые можно перевести сразу.

Защитная операция

7 ноября аналитическая компания Bitquery сообщила о краже более $6 млн из более чем 44 000 кошельков Keplr. По ее подсчетам, средства ушли как минимум с 44 041 адреса в семи блокчейнах экосистемы Cosmos и с 7603 адресов в Injective.

С учетом пересечений аналитики насчитали около 44 700 уникальных кошельков.

Однако список Web3Auth показал, что некоторые переводы, которые приписали хакерам, на деле относились к спасению средств. По данным The Block, в него вошли все восемь адресов, которые Bitquery связала со злоумышленником.

Реальный ущерб от атаки пока неизвестен. Web3Auth упомянула «первоначального злоумышленника», но не раскрыла, сколько кошельков он опустошил и сколько средств похитил.

При этом разработчики заверили, что активы, которые вывела команда, в безопасности. Web3Auth вместе с Keplr ищет способ вернуть их владельцам, но сроки пока не назвала.

Keplr посоветовала пользователям, которые входили через Google или Apple, не пополнять эти кошельки, а оставшиеся средства перевести на адреса с сид-фразой или аппаратной защитой. Компания также предупредила о мошенниках, которые предлагают помочь с возвратом активов.

Напомним, в начале ноября хакеры похитили биткоины из горячих кошельков пользователей BTCPay Server.