Más de 44.000 wallets de Keplr enviaron fondos a direcciones de recuperación de Web3Auth durante la respuesta a una brecha que afectó a usuarios que entraban con Google o Apple. Las transferencias sumaban al menos 6,01 millones de dólares en los recuentos de Bitquery, que inicialmente las interpretó como un robo y después corrigió su análisis: Web3Auth y Keplr identificaron esas direcciones como destinos seguros para rescatar activos.
La corrección no despeja la incógnita principal. Ninguna de las dos compañías ha dicho cuánto dinero sustrajo el atacante antes de que comenzara la recuperación, cuántas cuentas llegó a vaciar ni qué dirección utilizó. Tampoco ha explicado cómo funcionaba la vulnerabilidad o cuándo se explotó por primera vez.
El acceso con Google y Apple quedó en pausa
Keplr es una aplicación de cartera para el ecosistema Cosmos. Para quienes crean una cuenta con una frase de recuperación, la clave privada queda asociada a una lista de 12 o 24 palabras; también se puede usar una cartera física. La opción de acceso social permite entrar con una cuenta de Google o Apple sin gestionar directamente esa frase. Web3Auth proporciona ese servicio y reconstruye la clave de la wallet cuando el usuario inicia sesión.
Según las actualizaciones de ambas empresas, un problema en la infraestructura de Web3Auth afectó a algunas wallets integradas en la aplicación Keplr. Keplr describió el impacto como una «private key breach» para ciertos usuarios de Google o Apple: la clave privada es el secreto que autoriza las operaciones de la cartera. La compañía suspendió ambos métodos de acceso mientras investiga; Web3Auth, por su parte, pausó su servicio de wallets integradas, utilizado por otras aplicaciones.
Los usuarios empezaron a detectar movimientos no autorizados y saldos vacíos a última hora del 6 de noviembre. Bitquery sitúa la primera transferencia analizada a las 20:52 UTC de ese día. En cuestión de segundos, diez wallets de Cosmos Hub enviaron cantidades pequeñas, por un valor inferior a dos centavos cada una. La primera comunicación pública de Web3Auth llegó 21 minutos después, según la cronología de Bitquery.
Keplr publicó su aviso a las 04:38 UTC del 7 de noviembre. La compañía señaló que las cuentas creadas mediante Google o Apple podían haber visto transacciones que sus titulares no habían autorizado, y dijo que las wallets respaldadas por una frase de recuperación o por hardware no estaban afectadas. The Hacker News recoge una estimación inicial de Josh Lee, cofundador de Keplr: alrededor del 20% de las cuentas con acceso de Google o Apple se habrían visto afectadas, aunque solo una fracción de ellas parecía explotada.
Las transferencias de rescate se confundieron con el robo
Bitquery siguió los movimientos hacia dos direcciones que recibieron fondos de cuentas de Keplr: una compartida por siete redes del ecosistema Cosmos y otra en Injective. En su primera versión, publicada a las 16:41 UTC del 7 de noviembre, interpretó esos barridos como fondos robados. Doce minutos después, Web3Auth comunicó que estaba trabajando para asegurar activos de cuentas afectadas con ayuda de Keplr; trece minutos más tarde dijo que había iniciado una recuperación «whitehat».
El 8 de noviembre, Web3Auth publicó una lista de direcciones verificadas de recuperación y Keplr difundió la misma lista. Bitquery comprobó que las dos direcciones que había seguido figuraban allí y reescribió su análisis. La firma de datos blockchain contabilizó fondos procedentes de al menos 44.041 wallets en siete cadenas Cosmos y otras 7.603 en Injective. Su recuento de 6,01 millones de dólares corresponde a las direcciones de recuperación, no a una medición de lo que obtuvo el atacante.
El patrón temporal tampoco permite separar por sí solo los robos de las operaciones de rescate: en la cadena, ambas acciones pueden verse como una transferencia desde una wallet. El 86% de las cuentas contabilizadas en las siete cadenas Cosmos fue barrido después del aviso de Keplr. Web3Auth dijo que su recuperación se dirigía a wallets «vulnerable but not yet impacted», mientras que otras comunicaciones hablaban de cuentas afectadas. Bitquery advierte que sus datos no revelan cuáles habían sido alcanzadas previamente por el atacante.
GoPlus, una empresa de seguridad Web3, estimó en una alerta que se habían robado al menos alrededor de un millón de dólares, pero no explicó cómo obtuvo esa cifra. Ni Keplr ni Web3Auth han confirmado ese total. The Hacker News informa también de que los fondos trasladados a las direcciones de recuperación se distribuyeron por 11 redes de la familia Cosmos y ocho cadenas compatibles con Ethereum, según la lista y las actualizaciones de Web3Auth.
Más de seis millones en las direcciones publicadas
En su recuento de los movimientos hasta el 7 de noviembre, Bitquery encontró que Cosmos Hub concentraba unos 3,50 millones de dólares, casi todo en ATOM. Osmosis reunía más de mil tipos de tokens, entre ellos USDC, bitcoin y participaciones de pools. La firma calculó los precios a las 15:27 UTC del 7 de noviembre y excluyó tokens sin precio de mercado y un token de spam; por eso describió sus cifras como mínimos.
La mayoría de las wallets afectadas tenía cantidades pequeñas: la mediana de los fondos movidos fue de 1,34 dólares y el 88% de las cuentas envió menos de 100 dólares. Unas pocas decenas de wallets concentraban un tercio del total; la mayor transfirió 325.000 dólares. Como una misma clave puede controlar direcciones en varias redes Cosmos, el 46% de las wallets analizadas registró movimientos en dos o más cadenas.
Las transferencias se detuvieron en seis cadenas y en Injective dentro de un intervalo de 19 segundos, a las 10:34 UTC del 7 de noviembre. Cosmos Hub siguió procesando movimientos hasta las 15:33 UTC, mientras se trasladaban ATOM en staking. La pausa fue temporal: la recuperación se reanudó en Osmosis a las 18:28 UTC de ese día para liberar activos bloqueados en pools de negociación. Hasta las 19:22 UTC del 8 de noviembre, esa dirección había recibido otras 4.568 transferencias; Noble sumó 183 desde las 16:02 UTC del mismo día. Esos movimientos posteriores no están incluidos en el total de Bitquery.
La lista publicada por Web3Auth incluye Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX, Babylon, Axelar, Saga y Agoric, además de direcciones EVM para ocho cadenas. Bitquery identificó movimientos en seis de estas últimas: Ethereum, Base, Arbitrum, BNB Chain, Optimism y Polygon. En su consulta del 8 de noviembre, contó respectivamente 1.553, 870, 828, 490, 245 y cuatro wallets enviando fondos a la dirección EVM publicada, que empieza por 0x413e y termina en 06dA.
TokenPost informó el 9 de noviembre de que Web3Auth considera que esas transferencias forman parte de la protección de los activos y no son actividad del atacante. La empresa dijo que agregará más direcciones verificadas a medida que las confirme. La publicación de la lista buscaba aclarar movimientos que algunos usuarios habían confundido con nuevas operaciones maliciosas.
El staking añadió una operación difícil de revertir
Una parte de los fondos estaba bloqueada en staking. En Cosmos Hub, retirar ATOM delegado suele requerir un periodo de espera de 21 días, llamado unbonding. Bitquery observó que los movimientos de rescate evitaron esa espera convirtiendo el staking en tokens que representan la participación y pueden transferirse.
Desde las 09:57 UTC del 7 de noviembre, algunas operaciones agruparon hasta seis wallets. En cada una, la dirección de recompensas se cambió para apuntar a la cartera de recuperación, el stake se convirtió en un token de participación y ese token también se transfirió. Bitquery contabilizó el procedimiento en 13.030 wallets. La conversión liberó además recompensas acumuladas por un valor aproximado de 251.000 dólares.
Los tokens de participación todavía requieren el plazo de 21 días para volver a convertirse en ATOM, salvo que se utilice un servicio de staking líquido. Web3Auth no ha explicado cómo devolverá esos activos ni cuándo; dijo que algunas partes de la recuperación son complejas y pueden llevar tiempo. La empresa sí afirmó que los fondos trasladados están a salvo y que trabaja con Keplr para restituirlos.
Qué deben hacer los usuarios de Keplr
Keplr recomienda no enviar nuevos fondos a una cuenta creada con Google o Apple y no volver a importarla ni recrearla en otra aplicación. También aconseja trasladar los activos que no estén en staking o bloqueados a una cartera nueva respaldada por una frase de recuperación o por una wallet física. Quienes no sepan si su cuenta fue afectada deberán esperar el mecanismo de comprobación que Keplr está desarrollando junto a Web3Auth.
Ambas compañías han alertado sobre mensajes directos y solicitudes fraudulentas de recuperación. Keplr pide seguir únicamente sus canales oficiales y los de Web3Auth. La empresa de acceso también publicó las direcciones que dice utilizar para el rescate, aunque advierte que no debe asumirse que cualquier dirección desconocida esté vinculada al atacante.
Web3Auth pertenece a Consensys desde junio de 2025. Al anunciar la adquisición, Consensys dijo que el acuerdo permitiría a usuarios de MetaMask crear y recuperar wallets mediante accesos sociales. Tras la brecha de Keplr, Web3Auth señaló que su investigación inicial no había encontrado pruebas de que usuarios de MetaMask estuvieran afectados; no ha ofrecido más detalles sobre el alcance potencial en otros servicios que utilizan su tecnología.
La lista de recuperación comprende las direcciones que Web3Auth ha verificado hasta ahora, y la compañía prevé ampliarla. Sigue sin publicar cuánto consiguió mover el atacante original antes de la intervención ni cuándo estarán disponibles para sus titulares los fondos que ahora custodia.
Fuentes: The Hacker News, Bitquery, TokenPost
