La vulnerabilità ha coinvolto alcuni account creati con accesso Google o Apple. Web3Auth e Keplr hanno trasferito asset ancora recuperabili in indirizzi di recupero, ma l’ammontare sottratto dagli aggressori non è stato comunicato.
Un problema nell’infrastruttura di Web3Auth ha esposto le chiavi private di alcuni wallet Keplr creati tramite accesso Google o Apple. Tra il 6 e l’8 novembre 2026, mentre alcuni utenti segnalavano transazioni non autorizzate, Web3Auth ha dichiarato di aver avviato trasferimenti di protezione verso indirizzi controllati per il recupero. La società ha riferito di collaborare con Keplr per restituire i fondi agli utenti.
La vicenda riguarda il servizio di accesso integrato, non una vulnerabilità del codice del wallet Keplr o delle blockchain utilizzate. Secondo il cofondatore di Keplr, citato da The Block, circa il 20% degli account Keplr creati con Google o Apple potrebbe essere stato interessato. L’azienda ha precisato che i wallet creati con frase di recupero o hardware wallet non sono coinvolti.
Che cosa è stato trasferito e dove si trovano i fondi
Web3Auth ha pubblicato una lista di 12 indirizzi che definisce destinazioni di recupero. Al momento della rilevazione riportata da The Block l’8 novembre, questi indirizzi custodivano circa 5,6 milioni di dollari in criptovalute. La cifra è una fotografia dei saldi osservati on-chain e non rappresenta una stima delle perdite causate dall’attacco.
Un’analisi separata di Bitquery aveva inizialmente attribuito a due indirizzi circa 6,01 milioni di dollari trasferiti da decine di migliaia di wallet. In seguito, la società ha rilevato che entrambi gli indirizzi figuravano nella lista pubblicata da Web3Auth come destinazioni di recupero. Bitquery avverte che non può verificare chi controlli gli indirizzi e che il proprio conteggio non include i wallet eventualmente svuotati dall’aggressore verso altre destinazioni.
Le due cifre, quindi, non sono direttamente intercambiabili: The Block ha rilevato circa 5,6 milioni sui dodici indirizzi di recupero al momento della propria verifica; Bitquery ha ricostruito circa 6,01 milioni in una fase e con un perimetro di transazioni differenti. Parte degli spostamenti inizialmente interpretati come furti era collegata alle operazioni di recupero avviate da Web3Auth.
Resta ignoto quanto sia riuscito a sottrarre l’attaccante prima delle contromisure. Web3Auth ha menzionato un “attaccante originale” nelle comunicazioni riportate dalla stampa, ma non ha pubblicato un totale delle perdite né identificato pubblicamente gli indirizzi attribuiti a quella persona o gruppo.
Il ruolo di Web3Auth nel login di Keplr
Keplr consente di creare wallet tramite frase di recupero e, per alcuni account, attraverso l’accesso sociale con Google o Apple. In quest’ultimo caso, la gestione dell’accesso e la generazione della chiave coinvolgono Web3Auth, fornitore di infrastruttura per wallet incorporati. La chiave privata autorizza le transazioni: se viene esposta, chi la possiede può firmare operazioni e spostare gli asset associati.
La distinzione è importante perché una blockchain registra le transazioni, ma non spiega da sola chi le abbia autorizzate né se il trasferimento sia stato compiuto da un aggressore o dal team di recupero. Bitquery riferisce che alcuni trasferimenti verso indirizzi poi elencati da Web3Auth erano iniziati prima della prima comunicazione pubblica della società. La cronologia, da sola, non permette di attribuire ogni movimento a un soggetto.
Keplr ha sospeso il login Google e Apple e ha invitato gli utenti con account social a non depositare altri fondi. Per comprendere la differenza tra wallet software e dispositivi dedicati, si può consultare la nostra guida comparativa agli hardware wallet. Ha inoltre distinto questi account da quelli creati con frase di recupero o hardware wallet, indicati come non interessati. La causa tecnica dell’esposizione, il numero definitivo di account coinvolti e la procedura completa per la restituzione dei fondi non risultano ancora pubblicati nei resoconti disponibili.
Che cosa resta da chiarire
L’incidente lascia aperte tre questioni operative. La prima è la causa della vulnerabilità nell’infrastruttura Web3Auth e il modo in cui le chiavi sono diventate accessibili. La seconda è il bilancio definitivo dei fondi trasferiti dagli utenti, dai possibili aggressori e dai team impegnati nella risposta. La terza riguarda la restituzione: Web3Auth ha detto di lavorare con Keplr a un percorso di recupero, senza che nei resoconti consultati fosse ancora descritto un calendario completo o una procedura individuale definitiva.
Gli indirizzi pubblicati come destinazioni di recupero sono osservabili on-chain, ma il loro saldo non equivale a un rimborso già completato. Fino alla riconsegna agli utenti, quegli asset restano in indirizzi separati e la loro disponibilità dipende dalle modalità di custodia e trasferimento adottate dai soggetti coinvolti.
E in Italia?
Le comunicazioni citate non indicano una distribuzione geografica degli account coinvolti e non permettono di stabilire quanti utenti italiani siano interessati. Il rischio dipende dal metodo usato per creare il wallet: l’avviso di Keplr riguarda gli account configurati con login Google o Apple, mentre gli account impostati con frase di recupero o hardware wallet sono stati indicati come esclusi dall’incidente.
La distinzione tra vulnerabilità delle chiavi e fughe di dati personali è emersa anche nel recente incidente che ha coinvolto Keystone. Chi usa Keplr può consultare esclusivamente gli aggiornamenti pubblicati sui canali ufficiali della società e seguire le istruzioni specifiche per il proprio account. In questa fase è particolarmente importante diffidare di messaggi non richiesti che promettono il recupero dei fondi o chiedono chiavi private, frasi di recupero o pagamenti anticipati: nessuna informazione indipendente raccolta finora conferma che un soggetto esterno possa accelerare la restituzione. Il tema dei tentativi di phishing mirati è stato documentato anche dopo la violazione che ha interessato i clienti SafePal e il data breach di Trezor con clienti italiani coinvolti.
Web3Auth e Keplr in sintesi
Cosa è confermato e cosa resta da verificare
- Confermato: una vulnerabilità di Web3Auth ha esposto alcune chiavi di wallet Keplr creati con login Google o Apple; sono stati avviati trasferimenti verso indirizzi di recupero.
- Non indicato: la causa tecnica completa, il numero definitivo di account coinvolti e la perdita attribuibile all’aggressore.
- Da seguire: il piano di restituzione agli utenti e il rendiconto dei trasferimenti di recupero.
La lettura più grande
È una nostra lettura che l’episodio mostri un punto fragile dei wallet con login sociale: l’esperienza semplificata può dipendere da un’infrastruttura esterna che partecipa alla gestione delle chiavi. È un rischio diverso dalle fughe di dati commerciali, come quella descritta nel caso sezione dedicata agli attacchi crypto, ma entrambi mostrano quanto contino i servizi che circondano la custodia digitale. La comodità del login non elimina la necessità di proteggere il processo che consente di firmare le transazioni. In questo caso, però, non è ancora possibile ricostruire pubblicamente ogni passaggio tecnico o attribuire con certezza tutti i trasferimenti.
La risposta d’emergenza ha anche reso più complessa la lettura dei dati on-chain: Web3Auth ha dichiarato di aver usato lo stesso percorso tecnico dell’aggressore per mettere al sicuro gli asset ancora presenti nei wallet vulnerabili. Perciò un trasferimento anomalo non prova da solo un furto. Servono indirizzi verificati, cronologia completa e un rendiconto dei fondi effettivamente restituiti.