Keplr 与 Web3Auth 安全事件深度解析：从披露时间线到技术真相

Keplr 钱包在周六早晨发布的一则消息，并非一家钱包公司希望公开的内容。部分通过 Google 或 Apple 登录创建的账户，在未经所有者同意的情况下发送了资金。官方建议非常直白：停止向这些账户转账，不要在任何地方重新导入它们，并忽略任何承诺提供“恢复”服务的链接。

到了周日，Keplr 指出的问题源头——Web3Auth（现作为 MetaMask Embedded Wallets 销售的钱包基础设施提供商）发布了十二个地址，声称是其自身的恢复钱包。Web3Auth 表示，在 Keplr 的协助下，他们正在将资产从易受攻击的 Keplr 账户中转移出来，且部分转账被误认为是攻击者的活动。

两家公司均未公布对受损用户最重要的一部分内容：密钥最初是如何泄露的。截至周日晚上，尚无技术根本原因报告。目前的事件重构依赖于披露帖子、产品文档和链上追踪记录，而每一方讲述的故事都略有不同。

披露的时间序列及其确立的事实

Web3Auth 率先行动，于 11 月 6 日晚发出公告：“我们意识到 Web3Auth 服务存在安全问题，影响了部分第三方。”该公司写道，“我们已暂时暂停嵌入式钱包服务。经过初步调查，我们没有发现 MetaMask 用户受到影响。”这一声明划定了后续响应的边界，将其描述为供应商层面的问题，而非区块链层面或钱包代码漏洞，并将 MetaMask 自身用户排除在外，但未提及涉及的第三方是谁。

Keplr 在次日清晨提供了该第三方的名称。“我们收到报告称，部分使用 Google 或 Apple 登录创建的 Keplr 账户发生了未经授权的交易，”该钱包应用写道，“我们已向 @Web3Auth 团队标记此情况，并一直与他们合作进行调查。”同一帖子暂停了 Google 和 Apple 登录功能，并告知用户不要重新导入受影响的账户。

Keplr 联合创始人 Josh Lee 随后道歉，并将代码库与服务商区分开来。“这不是对 Keplr 代码的黑客攻击，”他写道，“事件起源于 Web3Auth，这是 Keplr 使用的一家提供商。所有其他 Keplr 账户、秘密恢复短语和硬件钱包都是安全的。”他将潜在受影响的比例定为使用 Google 或 Apple 登录创建账户的“约 20%”，但补充了一个值得注意的限制条件：“我不想过于乐观，但似乎只有那 20% 中的一小部分实际被利用，其余账户可能仍可恢复。”

到 11 月 7 日，Web3Auth 开始了其所谓的“白帽”恢复工作，其措辞是整个序列中最具揭示性的句子。其团队针对的是“利用与原始攻击者相同路径的易受攻击但尚未受影响的钱包”。沿着攻击者路线进行的恢复操作，既解释了扫描的速度，也解释了随之而来的混乱。

我们意识到部分交易可能被误认为是攻击者活动。以下是用于保护受影响资产的已验证恢复地址，而非攻击者控制的钱包：

— Web3Auth (@Web3Auth) November 8, 2026

这十二个地址揭示了什么

公布的列表是此次响应中最具体的证据，与其他估算不同，它可以直接验证。十二个地址中有十个位于 Cosmos 家族链上，且所有十个地址都包含完全相同的数据段 `atuap9kfnt6y8ykvn3437e7j3z8qffh3`。这正是单个 secp256k1 公钥在不同网络前缀下渲染时的样子：同一个密钥，在不同的链上戴着不同的标签。

Injective 是个例外。其地址 `inj1lqmdmuczn5rxn5jkc34wwrqdeh70etpf5wvt7g` 不共享该数据段，这符合以太坊派生的 20 字节地址格式，而不是同一密钥的 Cosmos 风格渲染。最后一条是一个单一的 EVM 地址，Web3Auth 表示该地址覆盖了范围内所有的八个 EVM 链。

架构设计承诺：没有任何单一方持有密钥

矛盾之处在于文档。MetaMask 的开发人员页面描述嵌入式钱包（原 Web3Auth）为一种基础设施，它将用户的钱包拆分为分布在 OAuth 登录、可信设备和恢复因素上的密钥份额。“该基础设施的设计确保没有任何单一方持有完整的私钥，”架构页面指出。Shamir 秘密共享（Shamir’s Secret Sharing）被列为分割密钥并在签名时重新组装的机制，核心套件会在网络验证 ID 令牌后“组合密钥份额以重建用户的签名密钥”。

同一页面得出了要求用户信任的结论：“这有助于保持钱包的非托管性质，因为没有任何单一方（包括 MetaMask 或登录提供商）可以使用单个份额来控制钱包。”该模式正在行业内整合，Kraken 的母公司于 7 月收购了 Magic Labs 的嵌入式钱包业务，这使得更多用户背后依赖更少的提供商。

对于通过社交登录创建的账户而言，这一链条中的某个环节未能奏效，但披露文件并未说明哪个环节失败。份额是否可以从令牌验证路径中推导出来？份额生成是否为部分账户生成了相关的份额？阈值是在客户端还是在网络上执行的？一个受损的设备份额加上提供商端的份额是否完成了密钥重组？这些都未被确认，每一种可能性都暗示着不同群体面临风险。

可以确认的是结果。那些从未写下助记词的所有者失去了对密钥的控制权，而持有份额的一方不得不沿着攻击者的路径来止血。无论根本原因最终如何，该事件已经做出一份审计报告无法做到的事：它向用户展示了“没有任何单一方”的信任实际上存在于何处。

六百万美元仅为估算，账目并未结清

最广泛引用的数字来自 Bitquery：至少有 600 万美元从跨越八个 Cosmos 网络的 44,000 多个钱包中被盗。如果将其视为损失金额，则需要算术计算。600 万美元分摊到 44,000 个钱包，每个钱包平均约为 137 美元。这是尘埃般的微小金额，而非国库储备。

要么 44,000 个地址持有小额余额并被扫空，要么该计数包括了受到恢复操作影响而非被盗的地址。这两种解读都指向同一个方向：总额是由许多小额转账组成的总和，不应被解读为 44,000 名用户损失了巨额资金。

恢复方面的数据比看起来更难确定。Coinpaper 对十二个已发布地址的审查显示，周日在这些地址上约有 560 万美元，其中包括 Cosmos Hub 地址上的约 249 万 ATOM。在 11 月 8 日 UTC 时间 23:51 对该地址进行直接查询，返回没有任何流动的 uatom；所有余额都以与验证器运营商挂钩的份额代币计价，而非 uatom，分布在大约 2,000 种面额中。恢复地址是工作账户，而非金库。检查时地址持有的任何资产随后都已移动，对其的任何快照都只是瞬间状态，而非总数。

将这两个数字并排比较，除非其中很大一部分是另一部分，否则它们不可能描述相同的资金。Web3Auth 警告其扫描被误认为盗窃，这指向了这一答案。部分“被盗”总额是恢复团队移动的资金，这使得实际损失小于 600 万美元，且截至周日晚上仍未公布。

Keplr 给用户的指示以及未提及的内容

用户指令关于流动余额非常具体，但对时间保持沉默。“不要向该账户发送新资金，”Keplr 写道，“将任何剩余的流动资产转移到助记词或硬件钱包账户。”它添加了在此类事件中唯一重要的安全建议：“只信任来自本账户或 @Web3Auth 的更新。忽略提供‘恢复’服务的私信或链接。”

对于任何质押、绑定或锁定的资产，Keplr 明确表示无法给出日期。“这是持续进行的，”它说，“质押和锁定资产增加了复杂性，需要更长时间。”持有处于解绑期的绑定 ATOM 的持有人，或资产坐在合同中无法通过单一签名移动的持有人，处于一个长度未公开的队列中。

有一条指示明显缺失，而其缺失正是设计使然。用户没有被指示轮换密钥，因为在社交登录账户中，他们没有单独持有的密钥。账户由提供商验证的身份和管理份额定义。这种便利性就是产品本身。本周，它也是暴露点，而指导方针仍未解决当事件结束后，用户应如何处理社交登录钱包的问题。

空余额并非被盗的证据

令人不安的反例是，看似被盗的部分内容可能是 containment（遏制）。如果一笔转账将你账户的资金转到了十二个已发布地址之一，资金由恢复团队移动。如果它转到了一个列表中完全不存在的地址，则该交易未解决，并非自动认定为犯罪。

然而，分类完全取决于 Web3Auth 自身的归因。两家公司均未公布对账的交易列表，也没有独立方将已发布的地址与其旨在解释的流出进行匹配。用户被要求接受一家公司的说法，即哪些其自身的转账是保护性的，而在同一周，该公司的基础设施却失败了。供应商侧的暴露并非此事件独有：本月发生的 Chainalysis 漏洞暴露了每位用户的实时代币，这是在不同层面上同样的教训。

这一差距也是欺诈聚集的地方。真正的恢复工作为任何在私信中提供“帮助”的人创造了现成的脚本。Keplr 忽略恢复提供的警告并非例行公事的谨慎；它是数千名用户现在扫描自己交易的公共地址列表的可预测后续发展。

ATOM 随市场下跌，而非因 Keplr 事件

据 CoinGecko 数据，11 月 8 日 UTC 时间 23:48，ATOM 交易价格为 1.30 美元，24 小时内下跌 5.2%。比特币价格为 74,839 美元，下跌 1.3%，以太币价格为 2,131 美元，下跌 4.7%。代币随市场下跌，并未与市场脱节。

披露文件中没有任何内容将泄露事件与价格联系起来。Cosmos Hub 验证者继续产生区块，恢复地址在与其他人相同的链上移动资产，且该事件发生在大多数 ATOM 持有者从未触及的钱包基础设施中。寻找因果故事的交易者会发现巧合和头条新闻，而现有证据并未建立更多的联系。

填补空白所需的四项披露

四项披露会将这一系列声明转变为可问责的记录。一份命名哪个组件导致密钥泄露的根本原因报告，以及失败是配置、份额生成还是令牌验证问题。扩展地址列表，因为 Web3Auth 表示随着确认会添加已验证地址。附带时间表的质押和锁定资产对账。以及其他集成商（超越 MetaMask 的“无证据”和 Trust Wallet 保证用户未受影响）的声明，因为这两项声明仅限于其产品范围。

直到这些到来，诚实的总结是狭窄的。一家其文档承诺没有任何单一方持有私钥的钱包基础设施提供商，丢失了通过社交登录创建的账户的密钥，沿着攻击者的自身路径移动资产以遏制损害，且尚未说明承诺中的哪一部分破裂。