«Войти через Google» — самый простой способ затащить человека в крипту. В эти выходные это стало и самым простым способом его оттуда вытащить. Keplr, самый популярный кошелёк экосистемы Cosmos, отключил вход через Google и Apple после жалоб на несанкционированные транзакции — а причиной оказалась уязвимость в Web3Auth, ключевой инфраструктуре за этими логинами.
Никто не выуживал сид-фразы, приложение никто не взламывал. Ключи утекли из сервиса, который должен был их защищать.
Главное
- 6 ноября 2026 Web3Auth подтвердил инцидент безопасности, затронувший сторонние интеграции, и временно отключил сервис встроенных кошельков.
- 7 ноября 2026 Web3Auth назвал причину — уязвимость в собственной инфраструктуре, через которую утекли приватные ключи части пользователей с входом через Google и Apple.
- Keplr отключил вход через Google и Apple; сооснователь Джош Ли оценил, что под угрозой около 20% аккаунтов с соцлогином, а реально атакована лишь часть из них.
- Первые оценки потерь превышают $700 тыс., по оценкам сообщества — до нескольких миллионов; ни Keplr, ни Web3Auth общую сумму не подтвердили.
- Исследователи из сообщества зафиксировали отток INJ, OSMO и ATOM в сетях Injective, Osmosis и Cosmos Hub.
- Keplr сообщает, что кошельки с сид-фразой или аппаратным устройством признаков компрометации не показывают.
Что случилось с кошельками Keplr?
Кошельки Keplr, созданные через вход Google или Apple, опустошили из-за уязвимости в Web3Auth — провайдере, который генерирует и собирает их приватные ключи: через неё ключи утекли. Keplr заявляет, что дыра не в коде его приложения. Кошельки со своей сид-фразой или аппаратным устройством не пострадали.
По данным Crypto Adventure, жалобы на необъяснимые списания пошли 7 ноября, а исследователи из сообщества проследили движения INJ, OSMO и ATOM. Web3Auth, который с 2025 года принадлежит Consensys — разработчику MetaMask, — сообщил, что первичное расследование не нашло признаков того, что затронуты пользователи MetaMask. Как именно атакующие использовали уязвимость, Web3Auth не раскрыл и обещает подробности после завершения возврата средств.
Как устроены кошельки с соцлогином
У кошельков с соцлогином нет сид-фразы, которую хранит пользователь. Web3Auth использует распределённую генерацию ключа: приватный ключ делится на части, которые лежат в разных местах и собираются, когда ты входишь через Google или Apple. Шаг «запиши 24 слова» исчезает — а на его место встаёт доверие к чужой инфраструктуре. Когда эта инфраструктура течёт, под удар разом попадают все аккаунты за ней.
Нет сид-фразы, которую можно потерять, — значит, нет и сид-фразы, которая только твоя.
Почему у некоторых баланс пустой?
Не каждый пустой кошелёк ограбили. Web3Auth и партнёры вывели средства из уязвимых, но ещё не атакованных кошельков тем же путём, что и атакующий, — чтобы успеть первыми. Поэтому у части аккаунтов баланс уменьшился или обнулился, хотя монеты спасены, а не украдены.
Web3Auth собирается опубликовать проверенный список адресов, куда выводили спасённые средства, и просит не записывать незнакомые адреса в атакующие слишком поспешно. Застейканные балансы всё усложняют: из-за периодов анбондинга в сетях Cosmos заблокированные монеты нельзя перевести мгновенно, что замедляет спасение, пишет KuCoin News. Keplr делает инструмент для проверки, затронут ли аккаунт, но сроков нет — и на 7 ноября нет ни плана компенсаций, ни даты возвращения соцлогина.
Что делать пользователям Keplr прямо сейчас?
Если твой кошелёк Keplr создан через вход Google или Apple, перестань отправлять на него средства и награды за стейкинг и переведи свободные монеты на кошелёк со своей сид-фразой или аппаратный кошелёк, как советует Keplr. Не импортируй и не пересоздавай аккаунт с соцлогином, пока идёт расследование.
- Игнорируй непрошеные предложения «вернуть средства» — за каждым взломом приходят скамеры — и никогда не вводи ключ или сид-фразу ни на каком сайте или в форме.
- Если баланс пустой, сверь адрес получателя в блок-эксплорере со списком Web3Auth, прежде чем считать, что тебя ограбили.
- Следи только за официальным X-аккаунтом Keplr.
Что это значит для тех, кто делает свапы
Каждый слой удобства между тобой и твоими ключами — это ещё одна зависимость. Самая надёжная схема по-прежнему — кошелёк, сид-фразу которого контролируешь только ты, лучше на аппаратном устройстве; варианты разбирает наш гайд по холодному хранению крипты.
Если нужно вывести монеты из уязвимого кошелька в другой актив или сеть, некастодиальный свап в SwapZilla отправит результат прямо на адрес, который ты укажешь, без регистрации. Укажи адрес для возврата, который контролируешь, и перепроверь, что адрес получения принадлежит новому кошельку — а не тому, из которого ты уходишь.
Финальная мысль
Приложение Keplr не взломали — и в этом весь смысл. Слабым звеном оказался сервис, о существовании которого большинство пользователей даже не знали. Соцлогин делает онбординг безболезненным, но собирает риск в одной точке, которую ты не можешь проверить. Пока Web3Auth не объяснил, что пошло не так, считай любой кошелёк без твоей собственной сид-фразы горячим кошельком, к которому может прикоснуться кто-то ещё.