Keplrウォレットのハッキング被害は、GoogleまたはAppleのログインによってウォレットを作成したユーザーに発生した。Web3Authは、攻撃者のウォレットとして特定された複数のアドレスが自社のリカバリー用ウォレットであると説明した。
この違いは、数千人規模のCosmosユーザーにとって重要である。オンチェーンデータ分析のBitqueryは、流出額を600万ドル超と算定した。しかし、その一部は現在、Web3Authが保全目的で保持するウォレットにある可能性がある。
Keplrウォレットのハッキングがソーシャルログイン利用者を直撃した経緯
Web3Authは、アプリがSNSアカウント経由で暗号資産ウォレットを作成できるログインツールを提供している。11月6日に同社は、埋め込みウォレットサービスの提供を停止し、ログインサービスをメンテナンスモードに切り替えた。
当初、同社は10月に別のセキュリティインシデントが発生したMetaMaskユーザーへの影響は確認されていないと発表した。翌日、Web3Authは自社インフラの脆弱性が原因であると判明し、一部のKeplrウォレットが被害を受けていたと認めた。
その後、KeplrはGoogleおよびAppleのサインイン機能を停止した。リカバリーフレーズやハードウェアウォレットで作成したアカウントにはリスクがないと、ウォレットチームは説明している。
Bitqueryの集計によれば、8つのCosmos系チェーンで約4万4700のKeplrウォレットが影響を受けた。最大の単一被害額は約32万5000ドルに上った。
このハッキングは、今年すでに混乱を経験しているエコシステムを直撃した。春にはLeap Walletのサービス停止により、多くのCosmosユーザーがKeplrに移行していた。
救済か窃盗か アドレスの重要性
その一方で、Web3Authはパートナーと協力してホワイトハット作戦を開始したと説明した。攻撃者が資金に到達する前に、同じ経路を使って脆弱なウォレットから資金を移動させた。
一部の関係者は、これらの送金もKeplrウォレットのハッキングによるものと誤認した。これを受けてWeb3Authは、Injective、dYdX、Babylon、Axelar、Saga、Agoric、および8つのEVMチェーンにおける認証済みアドレスを公開した。
これらのアドレスのいくつかは、Bitqueryが流出元として特定したコレクターウォレットとキーを共有している。Web3Authは、回収した資金の総額については明らかにしていない。
回収済み資金は安全であるとWeb3Authは説明し、Keplrと連携して返還方法を検討中であるとしている。また、偽の回収支援を持ちかけるなりすましには警戒を呼びかけた。
他プロジェクトも利用者の不安払拭に動いた。例えばPancakeSwapは、自社資金やスマートコントラクトに問題はないと発表した。
Keplrウォレットのハッキングは、暗号資産のセキュリティ面で今年発生した被害の一つとなった。北朝鮮系のハッカーだけで2026年には76億1000万ドルに及ぶ被害が確認されている。直近では、攻撃者によってQubicウォレットが1400件以上流出する事件も発生した。
