Una falla de seguridad en Web3Auth expuso cuentas de Keplr creadas mediante los accesos «Continuar con Google» o «Continuar con Apple». El incidente provocó salidas por unos 6,01 millones de dólares desde aproximadamente 44.700 billeteras en siete redes de Cosmos e Injective, según el rastreo de Bitquery.
La cifra todavía no equivale a pérdidas confirmadas. Parte de los fondos movidos podría corresponder a transferencias de rescate realizadas por Web3Auth y sus socios para proteger los activos. Ni Keplr ni Web3Auth han publicado una cifra oficial sobre el dinero perdido o el número de usuarios afectados.
El problema se originó en Web3Auth
Web3Auth, un proveedor de acceso mediante redes sociales perteneciente a Consensys —la empresa detrás de MetaMask—, comunicó el problema en X hacia las 21:13 UTC del 6 de noviembre. La compañía pausó su servicio de billeteras integradas mientras investigaba el incidente.
Horas después, alrededor de las 04:38 UTC del 7 de noviembre, Keplr informó de varias transacciones no autorizadas en cuentas abiertas con Google o Apple y suspendió temporalmente ese método de inicio de sesión.
Josh Lee, cofundador de Chainapsis, la empresa responsable de Keplr, subrayó que el incidente no se debió a un fallo del código de la billetera. «El incidente se originó en Web3Auth, un proveedor que Keplr usa», explicó. Lee calculó que hasta un 20% de las cuentas de Keplr creadas con acceso social podrían estar afectadas, aunque solo una parte habría sido vaciada.
Web3Auth no ha detallado cómo quedaron expuestas las claves privadas. Tras una primera investigación, afirmó que no había encontrado indicios de que los usuarios de MetaMask estuvieran afectados. Trust Wallet también comunicó que sus productos no resultaron comprometidos.
Más de seis millones de dólares rastreados
El análisis de Bitquery identificó movimientos por aproximadamente 6,01 millones de dólares hacia dos direcciones. Cerca de 3,5 millones procedían de Cosmos Hub. Los fondos se desplazaron desde cuentas distribuidas entre siete redes vinculadas al ecosistema de Cosmos e Injective.
El dato debe interpretarse con cautela. Las direcciones receptoras también pudieron acumular fondos transferidos preventivamente por equipos de respuesta, de modo que el volumen registrado en la cadena no permite establecer por sí solo el importe sustraído. La investigación continúa y no existe por ahora un balance definitivo de afectados.
Qué cuentas quedaron fuera del incidente
Las cuentas de Keplr creadas con una frase semilla o conectadas a una billetera física no se vieron afectadas, según Lee. La diferencia está en el modelo de custodia: en los accesos sociales, una parte de la clave depende de un proveedor externo. Si ese componente falla, la cuenta puede quedar expuesta aunque el usuario no haya autorizado ninguna operación.
Keplr ha recomendado a los usuarios seguir únicamente sus canales oficiales y desconfiar de mensajes privados que prometan recuperar fondos. Después de incidentes de este tipo suelen aparecer servicios que cobran por recuperar activos sin tener capacidad real para hacerlo. Para quienes utilicen accesos con Google o Apple, la recomendación publicada es extremar la precaución y reservar este sistema para saldos limitados; los fondos de mayor importancia pueden mantenerse en cuentas protegidas mediante frase semilla o billeteras físicas.
