A Web3Auth afirmou ter transferido fundos de carteiras Keplr vulneráveis para impedir que fossem acessados por invasores. A operação ocorreu após uma falha em seu sistema de autenticação expor chaves privadas de usuários que criaram carteiras com contas Google ou Apple. Segundo uma verificação publicada pelo The Block no domingo (8), 12 endereços de recuperação divulgados pela empresa reuniam aproximadamente US$ 5,6 milhões em criptomoedas.
A companhia, pertencente à Consensys, informou que utilizou o mesmo caminho de acesso explorado pelo invasor para retirar ativos de carteiras ainda não comprometidas. A medida foi descrita como uma operação de recuperação preventiva, realizada em colaboração com a Keplr, enquanto as empresas trabalham para devolver os fundos aos respectivos usuários.
A vulnerabilidade foi identificada na infraestrutura da Web3Auth, responsável pelo mecanismo de login social utilizado pela Keplr. Josh Lee, cofundador da carteira, esclareceu em uma publicação no X: “Não foi uma invasão do código da Keplr.” Segundo ele, aproximadamente 20% das contas Keplr criadas por autenticação Google ou Apple estavam potencialmente expostas, embora apenas uma parcela delas pareça ter sido explorada por invasores.
Endereços de recuperação foram inicialmente confundidos com carteiras criminosas
A distinção entre as transferências de proteção e os possíveis roubos mudou a interpretação inicial do incidente.
Em 7 de novembro, a empresa de análise blockchain Bitquery publicou uma investigação que identificava aproximadamente US$ 6 milhões movimentados a partir de mais de 44 mil carteiras Keplr. Inicialmente, os recursos foram classificados como valores retirados por um invasor.
Entretanto, os oito endereços associados às movimentações suspeitas também apareciam na lista de recuperação posteriormente divulgada pela Web3Auth. Em 8 de novembro, a Bitquery corrigiu sua investigação, reconhecendo que havia interpretado as transferências de resgate como roubos.
A análise original registrava cerca de US$ 6,01 milhões nos endereços monitorados em 7 de novembro. Já o levantamento do The Block encontrou aproximadamente US$ 5,6 milhões nos 12 endereços de recuperação em 8 de novembro. Os valores representam levantamentos distintos, não estimativas confirmadas de prejuízo.
A Bitquery também identificou a movimentação de aproximadamente 1,96 milhão de tokens ATOM que estavam em staking, mecanismo pelo qual criptomoedas são vinculadas à segurança de uma rede. As operações converteram posições em tokens transferíveis, permitindo movimentar os ativos sem aguardar o período convencional de desbloqueio de 21 dias da rede Cosmos Hub.
Embora a Web3Auth tenha mencionado um invasor original, nenhuma das empresas estabeleceu publicamente o valor efetivamente roubado antes da contenção. Tampouco foram divulgados os endereços atribuídos a esse invasor. Por isso, as transferências identificadas nos endereços de recuperação não podem ser contabilizadas automaticamente como perdas dos usuários.
A Keplr informou que carteiras criadas com frases de recuperação ou dispositivos físicos de armazenamento de chaves não foram afetadas pela vulnerabilidade identificada. Para usuários que utilizaram autenticação Google ou Apple, a orientação é não depositar novos fundos nas contas potencialmente comprometidas e transferir os ativos líquidos restantes para carteiras protegidas por frases de recuperação ou dispositivos físicos.
As empresas também alertaram sobre possíveis tentativas de fraude envolvendo falsas ofertas de recuperação. A Web3Auth afirma que os ativos protegidos permanecem seguros, mas ainda não estabeleceu um prazo público para sua devolução.
