Oltre 44.000 wallet Keplr hanno inviato fondi agli indirizzi di recupero di Web3Auth durante la risposta a una falla che ha colpito gli utenti che accedevano con Google o Apple. Secondo i conteggi di Bitquery, i trasferimenti ammontavano ad almeno 6,01 milioni di dollari: inizialmente Bitquery li aveva interpretati come un furto, per poi correggere la propria analisi. Web3Auth e Keplr hanno identificato quegli indirizzi come destinazioni sicure per mettere in salvo gli asset.
La correzione non chiarisce il principale interrogativo. Nessuna delle due società ha dichiarato quanto denaro abbia sottratto l’aggressore prima dell’inizio del recupero, quanti account sia riuscito a svuotare o quale indirizzo abbia utilizzato. Non ha nemmeno spiegato come funzionasse la vulnerabilità né quando sia stata sfruttata per la prima volta.
L’accesso con Google e Apple è stato sospeso
Keplr è un’applicazione wallet per l’ecosistema Cosmos. Per chi crea un account con una frase di recupero, la chiave privata è associata a una sequenza di 12 o 24 parole; è possibile utilizzare anche un wallet hardware. L’opzione di accesso social consente di accedere con un account Google o Apple senza gestire direttamente quella frase. Web3Auth fornisce il servizio e ricostruisce la chiave del wallet quando l’utente effettua l’accesso.
Secondo gli aggiornamenti delle due società, un problema nell’infrastruttura di Web3Auth ha interessato alcuni wallet integrati nell’applicazione Keplr. Keplr ha descritto l’impatto come una «private key breach» per alcuni utenti Google o Apple: la chiave privata è il segreto che autorizza le operazioni del wallet. La società ha sospeso entrambi i metodi di accesso mentre indaga; Web3Auth, da parte sua, ha messo in pausa il proprio servizio di wallet integrati, utilizzato da altre applicazioni.
Gli utenti hanno iniziato a rilevare movimenti non autorizzati e saldi azzerati nella tarda serata del 6 novembre. Bitquery colloca il primo trasferimento analizzato alle 20:52 UTC di quel giorno. Nel giro di pochi secondi, dieci wallet di Cosmos Hub hanno inviato piccole somme, ciascuna del valore inferiore a due centesimi. Secondo la cronologia di Bitquery, la prima comunicazione pubblica di Web3Auth è arrivata 21 minuti dopo.
Keplr ha pubblicato il proprio avviso alle 04:38 UTC del 7 novembre. La società ha segnalato che gli account creati tramite Google o Apple potevano aver registrato transazioni non autorizzate dai titolari e ha dichiarato che i wallet protetti da una frase di recupero o da hardware non erano interessati. The Hacker News riporta una stima iniziale di Josh Lee, cofondatore di Keplr: sarebbe stato interessato circa il 20% degli account con accesso Google o Apple, anche se solo una parte di essi sembrava essere stata sfruttata.
I trasferimenti di recupero sono stati confusi con il furto
Bitquery ha seguito i movimenti verso due indirizzi che hanno ricevuto fondi da account Keplr: uno condiviso da sette reti dell’ecosistema Cosmos e un altro su Injective. Nella prima versione della propria analisi, pubblicata alle 16:41 UTC del 7 novembre, ha interpretato quei trasferimenti in blocco come fondi rubati. Dodici minuti dopo, Web3Auth ha comunicato di stare lavorando per mettere al sicuro gli asset degli account interessati con l’aiuto di Keplr; tredici minuti più tardi ha dichiarato di aver avviato un recupero «whitehat».
L’8 novembre Web3Auth ha pubblicato un elenco di indirizzi di recupero verificati e Keplr ha diffuso lo stesso elenco. Bitquery ha verificato che i due indirizzi monitorati comparivano nell’elenco e ha riscritto la propria analisi. La società di dati blockchain ha conteggiato fondi provenienti da almeno 44.041 wallet su sette chain Cosmos e da altri 7.603 su Injective. La sua stima di 6,01 milioni di dollari si riferisce agli indirizzi di recupero, non a una misurazione dei fondi ottenuti dall’aggressore.
La tempistica, da sola, non consente neppure di distinguere i furti dalle operazioni di recupero: sulla blockchain, entrambe le azioni possono apparire come un trasferimento da un wallet. L’86% degli account conteggiati sulle sette chain Cosmos è stato svuotato dopo l’avviso di Keplr. Web3Auth ha dichiarato che il recupero era rivolto ai wallet «vulnerable but not yet impacted», mentre altre comunicazioni parlavano di account interessati. Bitquery avverte che i suoi dati non rivelano quali fossero già stati raggiunti dall’aggressore.
GoPlus, una società di sicurezza Web3, ha stimato in un avviso che fossero stati rubati almeno circa un milione di dollari, ma non ha spiegato come abbia ottenuto tale cifra. Né Keplr né Web3Auth hanno confermato questo totale. The Hacker News riferisce inoltre che, secondo l’elenco e gli aggiornamenti di Web3Auth, i fondi trasferiti agli indirizzi di recupero sono stati distribuiti su 11 reti della famiglia Cosmos e otto chain compatibili con Ethereum.
Oltre sei milioni negli indirizzi pubblicati
Nel conteggio dei movimenti fino al 7 novembre, Bitquery ha rilevato che Cosmos Hub concentrava circa 3,50 milioni di dollari, quasi tutti in ATOM. Osmosis raccoglieva oltre mille tipi di token, tra cui USDC, bitcoin e quote di pool. La società ha calcolato i prezzi alle 15:27 UTC del 7 novembre ed escluso i token senza un prezzo di mercato e un token spam; per questo ha descritto le proprie cifre come minimi.
La maggior parte dei wallet interessati conteneva somme esigue: la mediana dei fondi trasferiti era di 1,34 dollari e l’88% degli account ha inviato meno di 100 dollari. Alcune decine di wallet concentravano un terzo del totale; il più grande ha trasferito 325.000 dollari. Poiché la stessa chiave può controllare indirizzi su diverse reti Cosmos, il 46% dei wallet analizzati ha registrato movimenti su due o più chain.
I trasferimenti si sono interrotti su sei chain e su Injective nell’arco di 19 secondi, alle 10:34 UTC del 7 novembre. Cosmos Hub ha continuato a elaborare movimenti fino alle 15:33 UTC, mentre venivano trasferiti ATOM in staking. La pausa è stata temporanea: il recupero è ripreso su Osmosis alle 18:28 UTC dello stesso giorno per sbloccare gli asset bloccati nei pool di trading. Fino alle 19:22 UTC dell’8 novembre, quell’indirizzo aveva ricevuto altre 4.568 transazioni; Noble ne ha registrate 183 dalle 16:02 UTC dello stesso giorno. Questi movimenti successivi non sono inclusi nel totale di Bitquery.
L’elenco pubblicato da Web3Auth comprende Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX, Babylon, Axelar, Saga e Agoric, oltre agli indirizzi EVM per otto chain. Bitquery ha identificato movimenti su sei di queste ultime: Ethereum, Base, Arbitrum, BNB Chain, Optimism e Polygon. Nella sua ricerca dell’8 novembre ha contato, rispettivamente, 1.553, 870, 828, 490, 245 e quattro wallet che hanno inviato fondi all’indirizzo EVM pubblicato, che inizia con 0x413e e termina con 06dA.
Il 9 novembre TokenPost ha riferito che Web3Auth considera questi trasferimenti parte della protezione degli asset e non attività dell’aggressore. La società ha dichiarato che aggiungerà altri indirizzi verificati man mano che li confermerà. La pubblicazione dell’elenco mirava a chiarire movimenti che alcuni utenti avevano confuso con nuove operazioni malevole.
Lo staking ha aggiunto un’operazione difficile da annullare
Una parte dei fondi era bloccata in staking. Su Cosmos Hub, per ritirare ATOM delegati è solitamente necessario attendere un periodo di 21 giorni, chiamato unbonding. Bitquery ha osservato che i trasferimenti di recupero hanno aggirato l’attesa convertendo lo staking in token che rappresentano la quota e possono essere trasferiti.
Dalle 09:57 UTC del 7 novembre, alcune operazioni hanno raggruppato fino a sei wallet. In ciascuna, l’indirizzo per le ricompense è stato modificato per puntare al wallet di recupero, lo stake è stato convertito in un token rappresentativo della quota e anche quel token è stato trasferito. Bitquery ha conteggiato questa procedura in 13.030 wallet. La conversione ha inoltre sbloccato ricompense accumulate per un valore di circa 251.000 dollari.
Per riconvertire i token rappresentativi della quota in ATOM è comunque necessario attendere 21 giorni, a meno che non si utilizzi un servizio di staking liquido. Web3Auth non ha spiegato come restituirà questi asset né quando; ha dichiarato che alcune fasi del recupero sono complesse e potrebbero richiedere tempo. La società ha però affermato che i fondi trasferiti sono al sicuro e che sta lavorando con Keplr per restituirli.
Cosa devono fare gli utenti di Keplr
Keplr raccomanda di non inviare nuovi fondi a un account creato con Google o Apple e di non importarlo nuovamente né ricrearlo in un’altra applicazione. Consiglia inoltre di trasferire gli asset non in staking o bloccati a un nuovo wallet protetto da una frase di recupero o da un wallet hardware. Chi non sa se il proprio account sia stato interessato dovrà attendere il sistema di verifica che Keplr sta sviluppando insieme a Web3Auth.
Entrambe le società hanno lanciato un avvertimento sui messaggi diretti e sulle richieste fraudolente di recupero. Keplr invita a seguire esclusivamente i propri canali ufficiali e quelli di Web3Auth. La società che fornisce il servizio di accesso ha anche pubblicato gli indirizzi che dichiara di utilizzare per il recupero, pur avvertendo che non si deve presumere che qualsiasi indirizzo sconosciuto sia collegato all’aggressore.
Web3Auth fa parte di Consensys da giugno 2025. Annunciando l’acquisizione, Consensys ha dichiarato che l’accordo avrebbe consentito agli utenti di MetaMask di creare e recuperare wallet tramite accessi social. Dopo la falla di Keplr, Web3Auth ha segnalato che le sue indagini preliminari non avevano trovato prove del coinvolgimento di utenti MetaMask; non ha fornito ulteriori dettagli sulla possibile portata dell’incidente negli altri servizi che utilizzano la sua tecnologia.
L’elenco di recupero comprende gli indirizzi che Web3Auth ha verificato finora e la società prevede di ampliarlo. Non ha ancora comunicato quanto sia riuscito a trasferire l’aggressore originale prima dell’intervento né quando i fondi attualmente custoditi saranno disponibili per i rispettivi titolari.
Fonti: The Hacker News, Bitquery, TokenPost
