Web3Auth基础设施漏洞导致部分通过Google或Apple登录创建的Keplr钱包私钥遭到泄露。Web3Auth与Keplr已将相关资产转移至受控恢复地址，但攻击者实际盗取的金额至今未公开披露。
2026年11月6日至8日期间，Web3Auth基础设施出现安全问题，导致部分通过Google或Apple社交登录创建的Keplr钱包私钥暴露。在此期间，部分用户陆续报告出现未经授权的交易。Web3Auth随即声明已启动保护性转账，将相关资产转移至受控恢复地址，并表示正在与Keplr合作，向受影响用户归还资金。
据The Block引述Keplr联合创始人的说法，约20%通过Google或Apple创建的Keplr账户可能受到波及。需要指出的是，此次事件涉及的是Web3Auth的社交登录集成服务，而非Keplr钱包代码本身或底层区块链的漏洞。该公司明确表示，通过助记词或硬件钱包创建的账户不受影响。
转移资产的去向与当前状态
Web3Auth公布了12个地址，将其定义为恢复目的地。据The Block于11月8日的记录，这12个地址中合计持有约560万美元的加密资产，该数字反映的是链上观察到的余额快照，并不代表此次攻击造成的损失估算。
区块链数据分析平台Bitquery此前独立分析显示，两个地址共接收了来自数万个钱包的约601万美元资产。随后Bitquery发现，这两个地址均出现在Web3Auth公布的恢复目的地列表中。Bitquery同时提醒。该平台无法核实这些地址的实际控制方，且其统计数据不包含攻击者可能转移至其他地址的资产。
因此，两个数字并不能直接互换：The Block在其核查时记录的是12个恢复地址上的约560万美元；Bitquery则在不同时间段和不同交易范围内统计了约601万美元。最初被解读为盗窃的部分资金流动，实际上与Web3Auth启动的恢复操作相关。
在防护措施介入之前，攻击者究竟盗走了多少资产，目前仍不清楚。Web3Auth在相关声明中提及了“最初的攻击者”，但既未公布损失总额，也未公开归属于该攻击者或相关群体的具体地址。
Web3Auth在Keplr登录中扮演的角色
换句话说，Keplr支持通过助记词创建钱包，对于部分账户还支持通过Google或Apple进行社交登录。在社交登录模式下，登录管理与密钥生成均由Web3Auth负责，该公司专门为嵌入式钱包提供基础设施服务。私钥授权用户的链上交易：一旦私钥泄露，持有者即可对操作进行签名并转移相关资产。
这一区别至关重要。区块链记录的是交易本身，但无法单独说明交易由谁授权，也无法区分某笔转账究竟来自攻击者还是恢复团队。Bitquery指出，部分流向Web3Auth后来公布的地址的转账，早在该公司首次公开声明之前就已发生。仅凭时间线，无法将每一笔资金移动归因于特定主体。
目前，Keplr已暂停Google和Apple登录功能，并告知使用社交账户登录的用户暂勿向相关钱包存入更多资金。此类账户与通过助记词或硬件钱包创建的账户明显区分，后者不受影响。如需了解软件钱包与专用设备之间的差异，可参阅我们的硬件钱包对比指南。漏洞的技术根因、受影响账户的最终数量以及完整的资金归还流程，在现有报道中均尚未公开。
尚待厘清的问题
此次事件留下了三个有待解决的操作层面问题。第一，Web3Auth基础设施漏洞的技术成因，以及私钥是如何变得可被访问的。第二，由用户、潜在攻击者和响应团队三方分别转移的资金最终数字。第三是资金归还问题：Web3Auth表示正在与Keplr合作推进恢复方案，但据现有报道，完整的时间表或针对个人用户的明确操作流程尚未公布。
Web3Auth公布的恢复目的地地址可在链上查询，但地址余额并不等同于已完成的退款。在资产正式归还给用户之前，这些资产仍保存在独立地址中，其实际可用性取决于相关方所采用的托管与转账方式。
香港及华语市场的关联影响
换句话说，相关公告未说明受影响账户的地理分布，因此无法确认究竟有多少意大利用户受到波及。风险程度取决于创建钱包时所使用的方式：Keplr发出的警告仅针对通过Google或Apple登录创建的账户，而使用助记词或硬件钱包设置的账户则被明确排除在此次事件之外。
私钥漏洞与个人数据泄露之间的区别，在Keystone近期安全事件中同样有所体现。Keplr用户应仅参考官方渠道发布的最新公告，并严格按照针对各自账户类型的具体指引操作。当前阶段，请对任何主动联系声称可协助追回资金、索取私钥、助记词或要求预付款项的信息保持高度警惕：迄今尚无任何独立信息可证实外部第三方能够加快资产归还进程。类似的针对性钓鱼攻击，在SafePal客户数据泄露事件以及涉及意大利用户的Trezor数据泄露事件之后，均有详细记录在案。
Web3Auth与Keplr事件概要
已确认事项与待核实事项
- 已确认：Web3Auth存在安全漏洞，导致部分通过Google或Apple登录创建的Keplr钱包私钥遭到暴露；相关资产已被转移至恢复地址。
- 尚未披露：完整的技术根本原因、受影响账户的最终数量，以及可归因于攻击者的确切损失金额。
- 持续关注：用户资产的归还计划，以及恢复转账的完整明细说明。
更深层的思考
此次事件揭示了社交登录钱包的一个结构性脆弱点：简化的用户体验背后。可能依赖于参与密钥管理的外部基础设施。这与商业数据泄露（如加密攻击专栏中所述案例）的风险性质不同。但两类事件都表明，围绕数字资产托管的周边服务至关重要。便捷的登录方式，并不能消除保护交易签名流程的必要性。不过目前阶段，仍无法完整地公开还原每一个技术环节，也无法确定性地归因所有转账行为。
紧急响应行动也使链上数据的解读更加复杂：Web3Auth声明，其采用了与攻击者相同的技术路径，以抢先保护仍留存于脆弱钱包中的资产。因此，单笔异常转账本身并不足以证明资金遭窃。要得出可靠结论，需要经过核实的地址信息、完整的时间线记录，以及已实际归还资金的详细账目。
