Monederos de inicio de sesión social de Keplr afectados por una falla de seguridad de Web3Auth

Una falla de Web3Auth afecta a algunos monederos Keplr de inicio de sesión social

Algunos usuarios de Keplr que crearon monederos mediante el inicio de sesión con Google o Apple se vieron afectados por una falla de seguridad en la infraestructura proporcionada por Web3Auth. El incidente no se describe como una vulneración general de todos los monederos Keplr: la exposición señalada afecta a una vía específica de creación de monederos. Keplr afirma que las cuentas creadas con una frase de recuperación o un monedero de hardware no corren ningún riesgo, y establece así una clara distinción entre las cuentas de inicio de sesión social y esas otras configuraciones de monedero.

Web3Auth ofrece herramientas de inicio de sesión que permiten a las aplicaciones crear monederos de criptomonedas mediante cuentas sociales. El 6 de noviembre, suspendió su servicio de monedero integrado y puso su servicio de inicio de sesión en mantenimiento. En un primer momento, la empresa informó que no había indicios de que los usuarios de MetaMask se hubieran visto afectados; estos habían sufrido un incidente de seguridad distinto en octubre. Un día después, Web3Auth atribuyó la falla a su propia infraestructura y confirmó que algunos monederos Keplr se habían visto afectados.

Tras la confirmación, Keplr deshabilitó el inicio de sesión con Google y Apple. Esa medida limita el uso de las opciones de inicio de sesión afectadas, pero la información proporcionada no indica cuándo se restablecerán ni si se han protegido todas las cuentas afectadas. Bitquery contabilizó aproximadamente 44.700 carteras de Keplr afectadas en ocho cadenas basadas en Cosmos. La magnitud abarca varias redes, aunque la cifra no permite determinar por sí sola cuánto perdió cada usuario ni si se vaciaron todas las carteras contabilizadas.

Cómo afectó el incidente a los usuarios de Keplr

Bitquery atribuyó más de 6 millones de dólares al vaciado e informó que la mayor pérdida individual fue de unos 325.000 dólares. Esas cifras describen la actividad en cadena que identificó mediante su seguimiento; no deben interpretarse como pérdidas finales confirmadas para los usuarios. Web3Auth afirma que algunas direcciones consideradas carteras del atacante son en realidad sus carteras de recuperación. Por lo tanto, el total destacado podría incluir fondos trasladados a custodia para mantenerlos a salvo, aunque la empresa no ha cuantificado esa parte.

La secuencia es importante para entender la respuesta. Web3Auth afirma que inició una operación de hackers éticos con sus socios y trasladó fondos desde carteras vulnerables antes de que el atacante pudiera acceder a ellas, utilizando la misma vía de acceso. Por eso, las transferencias desde esas carteras podrían parecer robos si se observan sin tener en cuenta la explicación de la empresa. La empresa afirma que las direcciones de destino que identificó pertenecen a su operación de recuperación, pero la fuente no ofrece un desglose completo, transacción por transacción, de los movimientos.

El 8 de noviembre, Web3Auth publicó direcciones verificadas correspondientes a Injective, dYdX, Babylon, Axelar, Saga, Agoric y ocho cadenas EVM. Varias de esas direcciones comparten una clave con las carteras recolectoras que Bitquery había vinculado al vaciado. Esa coincidencia ayuda a explicar por qué se interpretó que parte de la actividad estaba bajo el control del atacante. Por sí sola, no determina el estado final ni la titularidad de cada activo objeto del seguimiento; Web3Auth afirma que las direcciones identificadas se utilizan para la recuperación.

Las billeteras de recuperación complican el panorama en cadena

Web3Auth afirma que los fondos recuperados mediante la operación están a salvo y que está trabajando con Keplr para encontrar la manera de devolverlos. No ha indicado qué parte del total rastreado por Bitquery logró asegurar, por lo que los usuarios y observadores aún no pueden conciliar la cifra de más de 6 millones de dólares con los fondos mantenidos bajo custodia. El esfuerzo de recuperación anunciado es alentador para los usuarios afectados, pero la cantidad, los plazos y el proceso exacto de distribución siguen sin estar claros en la información disponible.

El episodio también muestra por qué puede ser difícil interpretar las etiquetas de las transferencias de fondos durante un incidente activo. Una transferencia desde una dirección vulnerable puede ser obra de un atacante o una medida de protección de un equipo de respuesta; en este caso, Web3Auth afirma que su equipo utilizó la misma vía de acceso que el atacante. Publicar direcciones verificadas ofrece una forma de identificar algunas billeteras de recuperación, pero no sustituye un balance más completo ni confirma el destino de todos los saldos afectados.

Web3Auth advirtió a los usuarios sobre suplantadores que ofrecen ayuda falsa para recuperar fondos. Esa advertencia es práctica en una situación en la que los usuarios esperan un proceso oficial de devolución y podrían ser contactados por personas que afirman poder recuperar sus fondos. La empresa dice que está coordinándose con Keplr, pero la fuente no ofrece instrucciones específicas para la recuperación ni fija un plazo. Los usuarios deberían distinguir el esfuerzo de recuperación anunciado de las ofertas no solicitadas, en lugar de tomar una afirmación informal como prueba de que tienen acceso a los fondos.

Recuperación de fondos y cuestiones de seguridad más amplias

La respuesta de Keplr también es relevante para los usuarios que dependen del inicio de sesión con redes sociales en lugar de una frase de recuperación o una billetera de hardware. El equipo de la billetera afirma que esos otros tipos de cuentas no corren ningún riesgo por este incidente, mientras que el inicio de sesión con Google y Apple se deshabilitó tras confirmarse la vulnerabilidad. La información no detalla cómo se están resolviendo los casos de cada cuenta ni explica si los usuarios afectados deben tomar medidas adicionales. La distinción según la configuración de la billetera es la orientación más clara que ofrece el relato del incidente.

El incidente se produce después de una interrupción en el ecosistema Cosmos a principios de año: según el relato proporcionado, el cierre de Leap Wallet llevó a muchos usuarios de Cosmos a pasarse a Keplr. Ese antecedente ayuda a entender por qué un problema de seguridad en Keplr puede afectar a toda la comunidad, pero no demuestra que el cierre de Leap causara la vulnerabilidad ni las pérdidas. Otros proyectos también intentaron tranquilizar a los usuarios; PancakeSwap afirmó que sus fondos y contratos inteligentes seguían a salvo.

El caso de Keplr se suma a una serie más amplia de incidentes de seguridad citados en el informe, entre ellos el robo de 7.610 millones de dólares por parte de hackers norcoreanos en 2026 y el vaciado reciente de más de 1.400 billeteras de Qubic por parte de un atacante. Estos ejemplos muestran el contexto general de seguridad, pero no indican que exista una conexión con la vulnerabilidad de Web3Auth. Las principales preguntas aún sin resolver son qué cantidad de criptomonedas rastreadas estaba protegida por Web3Auth, cómo se devolverán los activos recuperados y cuándo podrán reanudarse de forma segura las opciones de inicio de sesión desactivadas.

Fuente: BeInCrypto