Web3Auth 漏洞波及 Keplr 社交登录钱包，Cosmos 网络转出约 601 万⁠美⁠元

11月6日，第三方身份验证服务商 Web3Auth 披露其基础设施存在安全问题。次日凌晨，Cosmos 生态钱包 Keplr 报告通过 Google 和 Apple 登录创建的账户出现未经授权交易，随即停用这两种登录方式。

区块链分析公司 Bitquery 追踪到 11月6日至7日期间多个 Cosmos 网络共约 601 万美元的转账，但 Keplr 与 Web3Auth 随后确认，部分资金是白帽团队为保护资产而转移，实际被盗金额尚不明确。

漏洞源头与时间线

这起事件的时间线始于11月6日星期五。当天，第三方身份验证服务商 Web3Auth 披露其基础设施存在安全问题，但披露时并未说明漏洞的具体技术细节。Web3Auth 为多个加密应用提供社交登录与密钥管理服务，Keplr 的 Google 和 Apple 登录功能正是建立在这一第三方基础设施之上。

到11月7日星期六凌晨，Keplr 开始报告通过 Google 和 Apple 认证创建的账户出现未经授权交易，并随即禁用这两种登录方式。Keplr 背后的公司 Chainapsis 联合创始人 Josh Lee 随后澄清，漏洞源于 Web3Auth，而非 Keplr 自身的软件。这一区分对理解事件性质很关键：问题出在外包的密钥基础设施，而非钱包客户端本身。

两家公司至今未披露该漏洞的具体技术原因。可以确认的是，受影响的仅是社交登录路径，传统助记词账户和硬件钱包账户未受波及。这一边界也解释了为何事件影响集中在特定用户群体，而非 Keplr 的全部用户。

受影响范围与金额

区块链分析公司 Bitquery 审查了11月6日至7日期间的交易记录，发现钱包资金被清空的活动普遍存在于 Cosmos Hub、Osmosis、Celestia、Akash、Noble、Dydx、Babylon 和 Injective 等平台。按11月7日的估值数据，这些收集地址共接收了价值至少601万美元的资产。

从网络分布看，Cosmos Hub 占约350万美元，是金额最集中的网络；其次是 Osmosis 的104万美元和 Injective 的61.5万美元。Bitquery 的统计覆盖约44,700个独立私钥，其中7个关联网络中86%的受影响钱包在 Keplr 发出首次警告后仍发生了转账。

损失分布极不均衡。钱包损失的中位数仅为1.34美元，说明大量账户只被清走零星余额；但最大单笔转账金额接近325,000美元。调查人员还记录到约196万枚质押的 ATOM 在未经过惯例的21天解锁期的情况下被转移，这些交易借助流动性质押机制，将持仓转换为可转让的份额代币，同时约25.1万美元的质押奖励被转至其他地址。

Chainapsis 的 Josh Lee 初步估计，约20%的社交登录账户受到影响，但其中仅一小部分遭到实际利用。这一比例与 Bitquery 观察到的转账规模共同勾勒出受影响面的轮廓，但两者统计口径不同，不能直接相加或互相印证。

白帽转移带来的统计难题

601万美元这一数字的性质在事件后续披露中发生了变化。Keplr 与 Web3Auth 证实，白帽修复团队正在利用暴露的访问路径，将受影响资产转移至受保护的托管中。这意味着链上观察到的转账中，有一部分并非恶意窃取，而是保护性恢复操作。

11月8日星期日，Keplr 公布了经核实的恢复地址清单，覆盖 Cosmos Hub、Osmosis、Celestia、Akash、Noble、Injective、dYdX、Babylon、Axelar、Saga、Agoric 以及一个 EVM 地址。Keplr 表示，这些地址与 Bitquery 调查过的多个收集钱包重合，并确认相关操作属于授权恢复，而非恶意利用。

因此，601万美元代表的是已观察到的转账总额，而非经核实的无法追回的被盗金额。防护性转账与恶意提现混在同一批链上记录中，在账目核对完成之前，实际损失规模仍无法确定。这也使本次事件在技术紧急事件之外，同时成为一个会计层面的难题。

各方回应与用户建议

Web3Auth 坚称，通过其保护性操作转移的资金仍然安全。Keplr 则提醒，部分受影响用户可能会发现账户余额意外为零，原因是资产已被转移至安全保管处，而非全部被盗。两家公司尚未确定确切的损失金额，也未公布全面的赔偿时间表。

对使用 Google 或 Apple 登录创建账户的用户，Keplr 给出的建议是：避免向这类账户存入更多资产，将剩余的流动资产转入新设的安全钱包，并忽略未经请求的恢复提议。质押资产可能需要额外处理，因为流动性质押份额的转移路径与普通余额不同。

事件也暴露出钱包设计中的一处结构性矛盾。简化私钥管理提升了区块链应用的易用性，但将身份验证外包给第三方，等于在用户与资产之间增加了一个潜在的故障点。在防护性转账与恶意提现的账目得到核对之前，这起造成数百万美元链上转移的安全风波仍缺少一个确定的损失结论。

要点

• Web3Auth 于11月6日披露基础设施安全问题
• Keplr 已暂停 Google 和 Apple 登录功能
• Bitquery 追踪到约 601 万美元相关转账
• 约 20% 社交登录账户受影响，仅小部分被利用
• 助记词和硬件钱包账户未受影响