Web3Auth 暂停嵌入式钱包，Keplr 调查社交登录钱包的未授权交易
Keplr 确认，Web3Auth 基础设施漏洞导致部分通过 Google 或 Apple 登录创建的钱包私钥泄露。Web3Auth 与合作方转移了部分资产以保护面临风险的钱包。Bitquery 估计，截至 11 月 7 日 15:38 UTC，八条链上的相关接收地址持有约 601 万美元资产。最终损失仍不明。
- 披露时间
- 2026年11月6日
- 更新于 2026年11月8日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 部分通过 Google 或 Apple 登录创建的 Keplr 钱包。Keplr 称使用助记词或硬件钱包的账户未受影响。
- Web3Auth · Keplr · 嵌入式钱包 · 社交登录
- 在野利用
- 已发现
- Keplr 收到未授权交易报告，其联合创始人称已有账户遭利用。
发生了什么
Web3Auth 披露其部分第三方使用的嵌入式钱包服务存在安全问题。Keplr 收到部分通过 Google 或 Apple 登录创建的钱包发生未授权交易的报告。Keplr 初步判断，使用助记词创建或使用硬件钱包的账户未受影响。Web3Auth 初步调查未发现 MetaMask 用户受影响的证据。11 月 7 日开发者公告重申了这一判断。
Keplr 联合创始人 Josh Lee 称事件源于 Web3Auth，初步估计约 20% 的 Keplr Google 或 Apple 登录账户可能受影响。Lee 称实际被利用的占比似乎更小，恢复工作仍在进行。厂商尚未公布最终账户数、损失、入侵方式或赔偿方案。
可核阅原始声明的公开副本。Web3Auth、Keplr、Josh Lee。
Bitquery 在七条可按同一密钥去重的链上统计到 44,041 个钱包。Injective 上有 7,603 个地址，但与前七条链重叠。研究方根据 299 个样本估计，Injective 另涉及 440 至 934 个钱包。不能直接相加这两组原始计数。研究方按 11 月 7 日 15:27 UTC 的价格估值，交易统计截至 15:38 UTC，当时 Cosmos Hub 仍有异常转出。约 601 万美元是估值快照，排除了未定价代币及疑似垃圾代币，尚未得到独立核实。在七条可按同一密钥去重的链上，Bitquery 统计约 86% 的受影响钱包是在 Keplr 04:38 UTC 发布警告后首次被转出资金。链上交易无法显示钱包的创建方式或密钥如何失陷。
研究方追踪到约 196 万枚质押 ATOM 对应的份额被代币化后转走。通常解除质押要等 21 天，但份额代币可先行转移。截至统计时点，Bitquery 未见接收地址进一步转出。后续披露尚未厘清所追踪的交易中哪些属于保护性转移，也未确认攻击者最终取得多少资金。
Web3Auth 称通过保护性转移保全的资产安全。在所引更新中，厂商尚未确认资产返还，也尚未发布经核实的找回地址或账户查询工具。仅凭余额变化无法判断资金是被盗还是出于保护目的转移。暂停社交登录无法使已取得的签名能力失效。继续暂停入金，避免重新导入受影响的账户，并按 Keplr 指引将剩余可转移资产转至另一只钱包。
后续原始公告也有公开副本。Web3Auth 基础设施更新、保护性转移、保全资产、找回地址清单进展、Keplr 指引。
案发时间线
11月6日 20:52 UTC
Bitquery 回溯到首批链上转账
研究方追踪到 Cosmos Hub 上十个钱包向同一接收地址发出小额转账。
11月6日 21:13 UTC
Web3Auth 披露嵌入式钱包安全问题
Web3Auth 暂停了部分第三方使用的服务，并称初步调查未发现 MetaMask 用户受影响的证据。
11月7日 04:38 UTC
Keplr 报告未授权交易并暂停社交登录
报告涉及部分使用 Google 或 Apple 登录创建的钱包。Keplr 正与 Web3Auth 联合调查。
11月7日 08:29 UTC
Keplr 联合创始人公布初步影响估计
Josh Lee 称问题源于 Web3Auth，并估计约 20% 的 Keplr 社交登录账户可能受影响，其中实际被利用的占比似乎更小。
11月7日 16:00 UTC
Bitquery 公布八条链的资金追踪
研究方统计至 15:38 UTC，估计相关接收地址持有约 601 万美元资产，当时 Cosmos Hub 上仍有资金被转出。钱包数按密钥计，不能等同于受害人数。
11月7日 16:53 UTC
Web3Auth 确认基础设施存在安全问题
厂商确认部分 Keplr 嵌入式钱包受影响，正与 Keplr 合作保护资产。
11月7日 17:06 UTC
Web3Auth 披露保护性转移
Web3Auth 称已与合作方沿用攻击者的路径，将资产从面临风险但尚未遭攻击的钱包转出。厂商称以此方式保全的资产安全，正在准备经核实的找回地址清单。
11月7日 17:17 UTC
Keplr 确认私钥泄露并发布转移指引
Keplr 建议将剩余可转移资产转到由助记词或硬件钱包保护的钱包。质押和锁定资产需要更长时间处理，账户查询工具仍在开发。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Web3Auth 事件披露一手来源通过公开副本核阅原始公告，确认服务暂停及对 MetaMask 用户影响的初步判断。
- Keplr 事件通知一手来源通过公开副本核阅原始公告，报告未授权交易、涉及的钱包创建方式、暂停登录及用户应立即采取的措施。
- Web3Auth 基础设施事件更新一手来源确认基础设施安全问题影响了部分 Keplr 用户的嵌入式钱包。
- Web3Auth 保护性转移公告串一手来源说明沿用攻击路径转移资产的保护措施，称保全资金安全，并表示正在准备经核实的找回地址清单。
- Keplr 私钥泄露及用户处置指引一手来源确认部分社交登录钱包私钥泄露，并给出可转移、质押和锁定资产的处置指引。
- Keplr 联合创始人的初步调查结果一手来源通过公开副本核阅原始公告，将事件归因于上游服务商，并给出初步影响估计及恢复工作进展。
- Web3Auth 登录服务维护一手来源记录安全事件引发的维护，并称服务恢复后会公告。
- MetaMask 开发者公告一手来源确认服务暂停，并重申初步调查未发现 MetaMask 用户受影响的证据。
- Bitquery 对 Keplr 的链上调查一手来源按链列出接收地址、质押份额路径及估值，说明跨链计数和归属限制。