Una falla en Web3Auth permitió robar criptomonedas de billeteras Keplr vinculadas a Google y Apple

turned off MacBook Pro beside white ceramic mug filled with coffee — Lauren Mancke / Unsplash

Algunas personas que configuraron una billetera de criptomonedas Keplr usando sus cuentas de Google o Apple tuvieron dinero robado por un atacante que explotó una falla de seguridad en Web3Auth, la empresa que proporciona esa funcionalidad de inicio de sesión.

Web3Auth utilizó la misma ruta de ataque del atacante para vaciar otras billeteras en riesgo antes de que el atacante pudiera acceder a ellas, según informó la empresa. Trasladó ese dinero, con ayuda del fabricante de la billetera, a billeteras de recuperación para protegerlo. Un saldo vacío puede significar que el dinero fue rescatado, no robado.

Las billeteras creadas con una frase de recuperación o una billetera de hardware no se vieron afectadas, según el fabricante de la billetera. Ha pausado el inicio de sesión con Google y Apple mientras investiga el incidente.

Según Josh Lee, cofundador de Keplr, aproximadamente el 20 por ciento de las cuentas de inicio de sesión con Google y Apple se vieron afectadas, aunque solo una fracción de ellas pareció haber sido explotada. GoPlus, una empresa de seguridad Web3, informó que al menos aproximadamente un millón de dólares fueron robados, aunque no explicó cómo llegó a esa cifra.

Bitquery, una empresa de análisis de datos de cadenas de bloques, contabilizó al menos 6,01 millones de dólares trasladados desde más de 44.000 billeteras a las billeteras de recuperación a finales de la semana pasada. El 86 por ciento de las billeteras fueron vaciadas después de que el fabricante advirtiera a los usuarios. Los primeros traspasos ocurrieron 21 minutos antes del primer aviso público del proveedor de inicio de sesión.

Web3Auth indicó que la falla afecta sus servicios utilizados por otras empresas, pero Keplr es la única que ha nombrado. Pausó su servicio de billetera integrada, que otras aplicaciones utilizan para construir billeteras para sus usuarios. Consensys, la empresa detrás de la billetera MetaMask, adquirió al proveedor de inicio de sesión en junio de 2025. El proveedor dijo que su investigación inicial encontró ninguna evidencia de que los usuarios de MetaMask estén afectados.