Web3Auth afirmó haber transferido fondos de carteras Keplr vulnerables para evitar que los atacantes accedieran a ellos. La operación ocurrió después de que una falla en su sistema de autenticación expusiera las claves privadas de usuarios que crearon carteras con cuentas de Google o Apple. Según una verificación publicada por The Block el domingo (8), 12 direcciones de recuperación divulgadas por la empresa reunían aproximadamente US$ 5,6 millones en criptomonedas.
La compañía, perteneciente a Consensys, informó que utilizó el mismo camino de acceso explotado por el atacante para retirar activos de carteras aún no comprometidas. La medida se describió como una operación de recuperación preventiva, realizada en colaboración con Keplr, mientras las empresas trabajan para devolver los fondos a sus respectivos usuarios.
La vulnerabilidad se identificó en la infraestructura de Web3Auth, responsable del mecanismo de inicio de sesión social utilizado por Keplr. Josh Lee, cofundador de la cartera, aclaró en una publicación en X: “No fue una invasión del código de Keplr”. Según él, aproximadamente el 20% de las cuentas Keplr creadas mediante autenticación de Google o Apple estaban potencialmente expuestas, aunque solo una parte de ellas parece haber sido explotada por atacantes.
Las direcciones de recuperación se confundieron inicialmente con carteras criminales
La distinción entre las transferencias de protección y los posibles robos cambió la interpretación inicial del incidente.
El 7 de noviembre, la empresa de análisis blockchain Bitquery publicó una investigación que identificaba aproximadamente US$ 6 millones movilizados desde más de 44 mil carteras Keplr. Inicialmente, los recursos se clasificaron como fondos retirados por un atacante.
Sin embargo, las ocho direcciones asociadas a los movimientos sospechosos también aparecían en la lista de recuperación divulgada posteriormente por Web3Auth. El 8 de noviembre, Bitquery corrigió su investigación y reconoció que había interpretado las transferencias de rescate como robos.
El análisis original registraba cerca de US$ 6,01 millones en las direcciones monitoreadas el 7 de noviembre. El relevamiento de The Block encontró, por su parte, aproximadamente US$ 5,6 millones en las 12 direcciones de recuperación el 8 de noviembre. Los valores representan relevamientos distintos, no estimaciones confirmadas de pérdidas.
Bitquery también identificó el movimiento de aproximadamente 1,96 millones de tokens ATOM que estaban en staking, mecanismo mediante el cual las criptomonedas se vinculan a la seguridad de una red. Las operaciones convirtieron posiciones en tokens transferibles, lo que permitió mover los activos sin esperar el período convencional de desbloqueo de 21 días de la red Cosmos Hub.
Aunque Web3Auth mencionó a un atacante original, ninguna de las empresas estableció públicamente el monto efectivamente robado antes de la contención. Tampoco se divulgaron las direcciones atribuidas a ese atacante. Por eso, las transferencias identificadas en las direcciones de recuperación no pueden contabilizarse automáticamente como pérdidas de los usuarios.
Keplr informó que las carteras creadas con frases de recuperación o dispositivos físicos de almacenamiento de claves no se vieron afectadas por la vulnerabilidad identificada. Para los usuarios que utilizaron autenticación de Google o Apple, la recomendación es no depositar nuevos fondos en las cuentas potencialmente comprometidas y transferir los activos líquidos restantes a carteras protegidas por frases de recuperación o dispositivos físicos.
Las empresas también advirtieron sobre posibles intentos de fraude relacionados con falsas ofertas de recuperación. Web3Auth afirma que los activos protegidos permanecen seguros, pero aún no ha establecido un plazo público para su devolución.
