Web3Auth漏洞危及通过Google或Apple创建的Keplr钱包_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Web3Auth漏洞危及通过Google或Apple创建的Keplr钱包

2026-11-09 16:03:15

Keplr 暂停 Google 与 Apple 连接功能，Web3Auth 基础设施漏洞引发安全危机

周六，Keplr 在发现通过 Google 和 Apple 服务创建的钱包存在可疑交易后，暂停了这两项连接服务。此次漏洞源于负责生成和管理私钥的服务提供商 Web3Auth，导致约 44,700 个密钥暴露。

事件概要

11月6日：Web3Auth 发现其基础设施存在漏洞，并暂停了其集成的钱包服务。
11月7日：Keplr 禁用了 Google 和 Apple 连接功能。使用助记词恢复或硬件钱包的用户不受影响。
链上动态：涉及金额约 600 万美元。然而，12 个恢复地址集中持有大部分已识别资金。

Keplr 切断 Google 和 Apple 登录入口

11月7日，Keplr 在检测到通过 Google 或 Apple 创建账户出现未经授权的交易后，向用户发出警报。平台立即暂停了这两种登录方式，并建议用户不要转移资金、不要重新导入账户，同时警惕所谓的“资金恢复”消息。

这一警报是在 Web3Auth 做出决定数小时后发布的。11月6日 UTC 时间 21:13，该提供商因安全事件暂停了其集成钱包服务。这家由 Consensys 拥有的公司明确表示，MetaMask 用户未受影响。

Keplr 背后公司 Chainapsis 的联合创始人 Josh Lee 排除了内部漏洞的可能性。据他所述，问题直接来自 Web3Auth，影响了约 20% 通过社交网络连接的账户。

这一区分至关重要：使用助记词或硬件钱包创建钱包的用户不受波及。然而，那些通过 Google 或 Apple 连接的用户依赖外部机制来重建私钥。换句话说，他们的安全性也取决于提供商的安全性。便利性有时是需要付出代价的。

六百万美元发生流动，但并非全部丢失

根据 Bitquery 的链上分析，11月6日至7日期间，约有 601 万美元发生流转。这些流动涉及多个网络，包括 Cosmos Hub、Osmosis、Celestia、Akash、Noble、dYdX、Babylon 和 Injective。

Cosmos Hub 以近 350 万美元的转账额领先，Osmosis 紧随其后，转账额为 104 万美元，Injective 以 61.5 万美元位列第三。

然而，这 600 万美元并不一定对应被盗资金。周日，Web3Auth 发布了包含为 Keplr 用户保障资产的 12 个恢复地址。其余额约为 560 万美元，占 Bitquery 记录的流量的 93.2%。

差额显示估计净损失为 41 万美元。需注意的是，由于两项分析的覆盖范围或时期不完全一致，且 Web3Auth 也对总金额提出异议，因此该计算仅为近似值。

Bitquery 还统计出约 44,700 个不同的私钥。每个钱包的中位数损失仅为 1.34 美元，尽管最大一笔转账接近 32.5 万美元。更令人担忧的是，在七个网络上受影响的钱包中，有 86% 在 Keplr 发出警报后仍记录了资金流动。

此外，得益于流动性staking（Liquid Staking），近 196 万个 ATOM 在质押状态下的持仓也发生了变动，未等待通常的 21 天解锁期。

救援行动引发质疑

资金的回收并未使局势简化。Web3Auth 解释称，它组织了救援行动，借用了攻击者使用的相同机制。结果：在几个小时内，一些用户看到资产离开他们的钱包，却不知这是盗窃还是救援操作。当加密资产不请自来地离开时，保持冷静绝非易事。

这种方法主要揭示了一个结构性弱点。即使在安全危机期间，Web3Auth 仍保留代表用户签署交易的能力。因此，恢复过程在很大程度上取决于技术团队的速度和协调能力。

目前，Web3Auth 和 Keplr 均未公布恢复社交登录或赔偿受害者的确切时间表。

此事重申了加密生态系统的一条基本规则：控制资产意味着控制私钥。因为当提供商遇到问题时，非托管钱包的承诺可能会迅速失去实质意义。正如其他与私钥保管和资金控制相关的案例所示，易用性并不总是能保证独立性。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文