Falha na Web3Auth compromete carteiras Keplr criadas com Google ou Apple

Keplr suspendeu no sábado as conexões via Google e Apple após a descoberta de transações suspeitas em carteiras criadas com esses serviços. A falha vem do Web3Auth, o provedor responsável por gerar e gerenciar as chaves privadas. Cerca de 44.700 chaves foram expostas.

Keplr fecha a porta para conexões Google e Apple

Em 7 de novembro, Keplr alerta seus usuários após detectar transações não autorizadas em contas criadas com Google ou Apple. A plataforma suspende imediatamente esses dois métodos de login e recomenda que os usuários não transfiram fundos, não reimportem suas contas e desconfiem de supostas mensagens de recuperação.

O alerta ocorre algumas horas após uma decisão do Web3Auth. Em 6 de novembro às 21h13 UTC, o provedor suspendeu seu serviço de carteiras integradas devido a um incidente de segurança. A empresa, que pertence à Consensys, esclarece que nenhum usuário do MetaMask foi afetado.

Por sua vez, Josh Lee, cofundador da Chainapsis, a empresa por trás da Keplr, descarta a hipótese de uma falha interna. Segundo ele, o problema vem diretamente do Web3Auth e afetaria cerca de 20% das contas conectadas por redes sociais.

A distinção é importante: os usuários que criaram sua carteira com uma frase de recuperação ou hardware wallet não são afetados. Em contrapartida, quem faz login com Google ou Apple depende de um mecanismo externo para reconstruir sua chave privada. Em outras palavras, a segurança deles também depende de seu provedor. Conforto às vezes tem um preço.

Seis milhões de dólares movimentados, nem tudo foi perdido

De acordo com a análise on-chain da Bitquery, cerca de 6,01 milhões de dólares circularam entre 6 e 7 de novembro. Os movimentos ocorreram em várias redes, notadamente Cosmos Hub, Osmosis, Celestia, Akash, Noble, dYdX, Babylon e Injective.

O Cosmos Hub lidera com perto de 3,50 milhões de dólares em transferências. Osmosis segue com 1,04 milhão, à frente de Injective com seus 615 mil dólares.

No entanto, esses 6 milhões não correspondem necessariamente a fundos roubados. No domingo, Web3Auth comunicou doze endereços de recuperação contendo ativos protegidos para usuários Keplr. O saldo atinge cerca de 5,6 milhões de dólares, ou 93,2% dos fluxos mapeados pela Bitquery.

A diferença indica uma perda líquida estimada em 410 mil dólares. Atenção: esse cálculo é aproximado, pois as duas análises abrangem períodos e escopos diferentes. Web3Auth também contesta o valor total.

Bitquery conta ainda cerca de 44.700 chaves privadas distintas. A perda mediana por carteira é de apenas 1,34 dólar, embora a maior transferência chegue a 325 mil dólares. Mais preocupante, 86% das carteiras afetadas em sete redes registraram movimentações após o alerta da Keplr.

Por fim, aproximadamente 1,96 milhão de ATOM em staking também mudaram de posição sem esperar o prazo usual de 21 dias para desbloqueio, graças ao staking líquido.

Uma operação de resgate que levanta questões

A recuperação dos fundos não facilitou a situação. Web3Auth explica ter organizado operações de socorro usando o mesmo mecanismo utilizado pelo atacante.

Como resultado, por várias horas, alguns usuários viram seus ativos saírem da carteira sem saber se foi roubo ou operação de recuperação. Difícil manter a calma quando suas criptos saem sem aviso.

Esse método revela principalmente uma fraqueza estrutural. Web3Auth mantém a capacidade de assinar transações em nome de seus usuários, mesmo durante uma crise de segurança. A recuperação depende amplamente da rapidez e coordenação das equipes técnicas.

Por enquanto, nem Web3Auth nem Keplr divulgaram cronograma para restabelecer as conexões sociais ou indenizar as vítimas.

O caso lembra uma regra fundamental do ecossistema cripto: controlar seus ativos implica também controlar suas chaves. Pois quando um provedor tem um problema, a promessa da carteira não custodial pode rapidamente perder valor. Como mostram outros casos relacionados a custódia de chaves e controle de fundos, a facilidade de uso nem sempre garante independência.