Una falla en Web3Auth compromete carteras Keplr creadas con Google o Apple
Keplr suspendió el sábado las conexiones vía Google y Apple tras el descubrimiento de transacciones sospechosas en carteras creadas con estos servicios. La vulnerabilidad proviene de Web3Auth, el proveedor encargado de generar y gestionar las claves privadas. Aproximadamente 44.700 claves fueron expuestas.
En breve
- El 6 de noviembre, Web3Auth descubre una vulnerabilidad en su infraestructura y suspende su servicio de carteras integradas.
- Al día siguiente, Keplr desactiva las conexiones Google y Apple. Las carteras que usan una frase de recuperación o un hardware wallet permanecen a salvo.
- Los movimientos on-chain alcanzan aproximadamente 6 millones de dólares. Sin embargo, doce direcciones de recuperación concentran la mayoría de los fondos identificados.
Keplr cierra la puerta a las conexiones Google y Apple
El 7 de noviembre, Keplr alerta a sus usuarios tras detectar transacciones no autorizadas en cuentas creadas con Google o Apple. La plataforma suspende inmediatamente estos dos métodos de conexión y recomienda a los usuarios no transferir fondos, no reimportar sus cuentas y desconfiar de supuestos mensajes de recuperación.
La alerta llega pocas horas después de una decisión de Web3Auth. El 6 de noviembre a las 21:13 UTC, el proveedor suspende su servicio de carteras integradas tras un incidente de seguridad. La empresa, que pertenece a Consensys, aclara que ningún usuario de MetaMask está afectado.
Por su parte, Josh Lee, cofundador de Chainapsis, la empresa detrás de Keplr, descarta la hipótesis de una vulnerabilidad interna. Según él, el problema proviene directamente de Web3Auth y afectaría aproximadamente al 20 % de las cuentas conectadas vía redes sociales.
La distinción es importante: los usuarios que crearon su cartera con una frase de recuperación o un hardware wallet no están afectados. En cambio, quienes se conectan con Google o Apple dependen de un mecanismo externo para reconstruir su clave privada. En otras palabras, su seguridad también depende de su proveedor. La comodidad a veces tiene un precio.
Seis millones de dólares movidos, no todo ha desaparecido
Según el análisis on-chain de Bitquery, aproximadamente 6,01 millones de dólares circularon entre el 6 y el 7 de noviembre. Los movimientos involucran varias redes, incluyendo Cosmos Hub, Osmosis, Celestia, Akash, Noble, dYdX, Babylon e Injective.
Cosmos Hub lidera con cerca de 3,50 millones de dólares en transferencias. Osmosis le sigue con 1,04 millones, delante de Injective con sus 615.000 dólares.
Sin embargo, estos 6 millones no corresponden necesariamente a fondos robados. El domingo, Web3Auth comunicó doce direcciones de recuperación que contienen activos puestos a salvo para los usuarios de Keplr. Su saldo alcanza aproximadamente 5,6 millones de dólares, es decir, el 93,2 % de los flujos registrados por Bitquery.
La diferencia muestra una pérdida neta estimada en 410.000 dólares. Sin embargo, atención: este cálculo es aproximado, ya que los dos análisis no cubren exactamente los mismos períodos ni los mismos ámbitos. Web3Auth también cuestiona el monto global.
Bitquery contabiliza además aproximadamente 44.700 claves privadas distintas. La pérdida mediana por cartera llega solo a 1,34 dólar, aunque la transferencia más grande se acerca a los 325.000 dólares. Más preocupante aún, el 86 % de las carteras afectadas en siete redes registraron movimientos tras la alerta de Keplr.
Finalmente, casi 1,96 millones de ATOM en staking también cambiaron de posición sin esperar el período habitual de desbloqueo de 21 días, gracias al staking líquido.
Una operación de rescate que plantea preguntas
La recuperación de los fondos no simplificó la situación. Web3Auth explica que organizó operaciones de rescate usando el mismo mecanismo empleado por el atacante.
Resultado: durante varias horas, algunos usuarios vieron sus activos salir de sus carteras sin saber si se trataba de un robo o una operación de recuperación. Difícil mantener la calma cuando sus criptomonedas desaparecen sin aviso.
Este método revela sobre todo una debilidad estructural. Web3Auth conserva la capacidad de firmar transacciones en nombre de sus usuarios, incluso durante una crisis de seguridad. La recuperación depende en gran medida de la rapidez y coordinación de los equipos técnicos.
Por ahora, ni Web3Auth ni Keplr han comunicado un calendario preciso para restablecer las conexiones sociales o indemnizar a las víctimas.
El caso recuerda una regla fundamental del ecosistema cripto: controlar sus activos también implica controlar sus claves. Porque cuando un proveedor tiene un problema, la promesa del wallet no custodial puede perder rápidamente su esencia. Como muestran otros casos vinculados a la custodia de claves y el control de fondos, la simplicidad de uso no garantiza siempre independencia.
¡Maximiza tu experiencia en Cointribune con nuestro programa "Read to Earn"! Por cada artículo que leas, gana puntos y accede a recompensas exclusivas. Regístrate ahora y comienza a acumular beneficios.
Apasionado por Bitcoin, me encanta explorar los intrincados detalles de la blockchain y las criptomonedas y comparto mis descubrimientos con la comunidad. Mi sueño es vivir en un mundo donde la privacidad y la libertad financiera estén garantizadas para todos, y creo firmemente que Bitcoin es la herramienta que puede hacer esto posible.
Las ideas y opiniones expresadas en este artículo pertenecen al autor y no deben tomarse como consejo de inversión. Haz tu propia investigación antes de tomar cualquier decisión de inversión.