Algumas pessoas que criaram uma carteira de criptomoedas Keplr usando uma conta do Google ou da Apple tiveram fundos roubados por um invasor.
A Keplr usa os serviços da Web3Auth para permitir o acesso com contas do Google e da Apple. No fim da semana passada, as duas empresas disseram que o invasor explorou uma falha de segurança na infraestrutura da provedora para acessar as carteiras.
A Web3Auth afirmou que usou o mesmo caminho explorado pelo invasor para retirar fundos de outras carteiras vulneráveis antes que ele pudesse fazê-lo. Com a ajuda da Keplr, transferiu os fundos para carteiras de recuperação, onde ficarão protegidos. Por isso, um saldo zerado pode indicar que os fundos foram resgatados, e não roubados.
Segundo a Keplr, carteiras criadas com uma frase de recuperação, uma lista de 12 ou 24 palavras usada como cópia de segurança, ou com uma carteira física não foram afetadas. A empresa suspendeu o acesso com contas do Google e da Apple enquanto investiga o caso.
O que os usuários afetados devem fazer
A Keplr divulgou as seguintes orientações para quem criou uma conta usando o Google ou a Apple:
- Não envie novos fundos para a conta.
- Não importe a conta novamente nem a recrie em outro lugar.
- Transfira os fundos que não estejam em staking ou bloqueados para uma conta que use uma frase de recuperação ou uma carteira física.
- Acompanhe as atualizações apenas nos canais oficiais da Keplr e da provedora de acesso. Ignore mensagens diretas e links que ofereçam “recuperar” os fundos.
A proteção dos ativos em staking ou bloqueados está demorando mais. A Keplr também trabalha com a provedora de acesso para permitir que os usuários verifiquem se suas contas foram afetadas.
Enquanto isso, a provedora publicou uma lista de endereços de recuperação. Segundo a empresa, a lista ajuda a distinguir as transferências feitas por ela de movimentações potencialmente maliciosas.
A provedora também alertou que os usuários não devem presumir que um endereço de destino desconhecido esteja ligado ao invasor.
O que aconteceu
Em uma atualização sobre o incidente, a Web3Auth informou que uma falha de segurança em sua própria infraestrutura afetou algumas carteiras disponibilizadas no aplicativo Keplr.
A Keplr afirmou que a falha levou à exposição da “chave privada” de alguns usuários que acessaram o serviço com o Google ou a Apple. A chave privada é a credencial secreta que autoriza transações feitas por uma carteira. Quem a possui pode movimentar os fundos.
Nenhuma das empresas explicou como a falha funcionava, quando o invasor começou a explorá-la ou se o método usado no ataque já foi bloqueado.
Para onde foi o dinheiro
Nenhuma das empresas divulgou o valor total roubado. Josh Lee, cofundador da Keplr, apresentou uma estimativa inicial: cerca de 20% das contas acessadas com o Google e a Apple foram afetadas, e apenas uma parcela delas parece ter sido explorada.
A GoPlus, empresa de segurança voltada ao Web3, afirmou em um alerta que pelo menos cerca de US$ 1 milhão foi roubado. A empresa não explicou como chegou a esse valor.
Os fundos resgatados foram enviados para carteiras que a provedora de acesso chama de carteiras seguras de recuperação, em 11 redes da família Cosmos e oito redes compatíveis com Ethereum.
A Bitquery, empresa de dados de blockchain, contabilizou pelo menos US$ 6,01 milhões transferidos de mais de 44.000 carteiras para as carteiras de recuperação até o fim da semana passada. A empresa inicialmente classificou as transferências como roubos. Depois, publicou uma análise corrigida, que as trata como resgates, embora afirme não conseguir verificar quem controla as carteiras de recuperação.
Os dados da Bitquery mostram que a primeira transferência ocorreu 21 minutos antes do primeiro comunicado público da provedora de acesso. A maioria das carteiras, 86%, foi esvaziada depois que a Keplr alertou os usuários.
Em uma publicação sobre a recuperação dos fundos, a provedora de acesso afirmou que o dinheiro transferido está seguro e que trabalha com a Keplr para devolvê-lo aos usuários. A empresa ainda não informou como nem quando isso será feito.
Além da Keplr
A provedora de acesso afirmou que o problema afeta serviços usados por algumas outras empresas, mas, até agora, só citou a Keplr. A empresa suspendeu seu serviço de carteiras integradas, usado por outros aplicativos para criar carteiras para seus usuários. A página de status ainda indica que o serviço de acesso está fora do ar.
A Consensys, responsável pela carteira MetaMask, comprou a provedora de acesso em junho de 2025. No anúncio da aquisição, afirmou que o acordo permitiria aos usuários da MetaMask criar e recuperar carteiras usando contas de redes sociais. A provedora disse que sua investigação inicial não encontrou “evidências de que usuários da MetaMask tenham sido afetados”.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...