Команда некастодиального криптокошелька Keplr зафиксировала серию сообщений о несанкционированных транзакциях в отдельных аккаунтах, созданных через авторизацию Google или Apple. Инцидент затрагивает именно те адреса, где генерация ключей опиралась на социальный вход, а не на классическую сид-фразу или аппаратное устройство.
Разработчики уже запустили внутреннее расследование и ведут его совместно с командой Web3Auth — провайдера, обеспечивающего механику входа через сторонние сервисы. По предварительной оценке, кошельки, созданные с помощью сид-фразы или подключённые к аппаратному хранилищу, в зону риска не попадают: их ключи формируются и хранятся локально, вне инфраструктуры социальной авторизации.
Какие меры приняты
В качестве защитной меры Keplr временно приостановил авторизацию через Google и Apple. Пользователям таких аккаунтов рекомендовано воздержаться от пополнения баланса, а также не импортировать и не пересоздавать эти кошельки до появления официальных разъяснений. Команда пообещала опубликовать подтверждённую информацию и дальнейшие инструкции после завершения проверки.
Ситуация подчёркивает фундаментальный компромисс, заложенный в архитектуру социального входа: удобство бесшовной авторизации достигается за счёт дополнительных посредников в цепочке генерации ключей. Любой сбой или уязвимость на стороне такого провайдера потенциально расширяет поверхность атаки для средств пользователей.
До завершения расследования держателям кошельков Keplr с социальной авторизацией целесообразно сохранять бдительность и отслеживать официальные каналы команды. Для остальных категорий аккаунтов — на базе сид-фразы и аппаратных кошельков — угроза на текущий момент не подтверждена.
Анализ Cryptalist: Инцидент в Keplr вновь актуализирует вопрос устойчивости моделей абстракции аккаунтов, где безопасность зависит от сторонних провайдеров авторизации. Рынок некастодиальных кошельков будет вынужден усилить аудит подобных интеграций, а пользователи — пересмотреть баланс между удобством социального входа и самоконтролем над приватными ключами. Для сегмента Web3Auth и аналогичных решений это сигнал о необходимости более прозрачных гарантий безопасности на уровне инфраструктуры.