Por Canuto  

Bitquery rastreó al menos USD $6,01 millones en fondos sustraídos de wallets Keplr creadas con inicios de sesión de Google o Apple. Keplr suspendió esa opción y señaló una vulnerabilidad vinculada a Web3Auth, proveedor externo que gestiona claves para esas cuentas.
***

  • El drenaje ocurrió entre el 6 y el 7 de noviembre de 2026 y afectó fondos en redes del ecosistema Cosmos e Injective.
  • Bitquery reportó cerca de 44.700 wallets afectadas; el desglose publicado por cadena presenta cifras que no se reconcilian con ese total.
  • Keplr detuvo los accesos sociales y comenzó labores de recuperación, mientras siguen sin conocerse el alcance final y el monto recuperable.

Un robo de al menos USD $6,01 millones golpeó wallets de Keplr entre el 6 y el 7 de noviembre de 2026, según el rastreo de la firma de análisis blockchain Bitquery. Los fondos salieron de cuentas creadas con inicios de sesión de Google o Apple, una modalidad que evita al usuario la configuración tradicional con una frase de recuperación, pero delega parte de la gestión de claves a un servicio externo.

Keplr vinculó el incidente con una vulnerabilidad de Web3Auth, proveedor que participa en el flujo de acceso social y la gestión de claves de esas cuentas. La compañía suspendió los inicios de sesión con Google y Apple. Al 8 de noviembre todavía no se había publicado una explicación técnica completa ni un balance definitivo de afectados y fondos recuperables.

El rastro de los fondos y el alcance del incidente

Bitquery identificó aproximadamente 44.700 wallets distintas afectadas por transacciones no autorizadas. En el desglose difundido, la firma contabilizó 44.041 wallets en cadenas del ecosistema Cosmos y 7.603 en Injective, cifras que suman más que el total aproximado reportado y cuya relación no quedó aclarada en la información disponible.

La mayor parte de las pérdidas se concentró en Cosmos Hub, donde el daño alcanzó cerca de USD $3,5 millones. Esa cadena también registró la salida de aproximadamente ATOM 1,96 millones que estaban en staking, sin cumplir el período habitual de desvinculación de 21 días, un dato que subraya la magnitud y la velocidad de las operaciones no autorizadas.

El análisis de tiempos añadió un elemento preocupante para los usuarios: Bitquery rastreó el 86% de los fondos drenados en redes vinculadas a transacciones posteriores a la advertencia inicial de Keplr, emitida el 7 de noviembre. Esto significa que la mayor parte de las salidas identificadas ocurrió después del primer aviso público, aunque la información publicada no detalla qué proporción de usuarios llegó a recibirlo o tuvo tiempo para actuar.

Los datos divulgados permiten observar la extensión del robo, pero no ofrecen todavía una cuenta final. Keplr y Web3Auth no habían publicado un número preciso de cuentas comprometidas ni un total definitivo de pérdidas, y tampoco habían especificado cuánto dinero podría recuperarse; por eso, los USD $6,01 millones rastreados deben entenderse como una cifra mínima reportada, no necesariamente como el cierre del caso.

La vulnerabilidad apuntó a la gestión de claves externas

Keplr señaló que el problema se originó en una vulnerabilidad de Web3Auth, empresa externa que ayuda a gestionar el acceso y las claves privadas asociadas a las cuentas sociales. Web3Auth confirmó que una falla en su infraestructura expuso claves privadas de algunos usuarios de terceros y afirmó que tomó medidas de protección, las cuales coincidieron con los patrones de transacciones observados por los analistas.

El cofundador de Keplr, Josh Lee, estimó que la brecha afectó a alrededor del 20% de las cuentas creadas mediante inicios de sesión sociales. También indicó que solo una fracción de esas cuentas había sido completamente explotada hasta ese momento, distinción que importa porque la exposición potencial no equivale necesariamente a que todos los fondos de cada cuenta hayan sido retirados.

Al 8 de noviembre de 2026, ninguna de las dos empresas había revelado la causa técnica exacta de la vulnerabilidad. Tampoco había un informe público que precisara cómo se produjo la exposición, qué controles fallaron o cuál fue el alcance total de las medidas de protección aplicadas por Web3Auth durante el incidente.

La falta de esos detalles deja abiertas preguntas importantes para los usuarios y para quienes evalúan la seguridad de los servicios de acceso social. Sin una explicación técnica y una cuantificación final, no es posible determinar con precisión qué cuentas estuvieron expuestas, cuánto tiempo duró el riesgo ni qué medidas específicas impedirían que una falla similar vuelva a comprometer claves gestionadas por terceros.

Qué cambia entre iniciar sesión y custodiar una frase de recuperación

Una wallet de criptomonedas depende de una clave privada: quien puede usarla tiene capacidad para mover los activos asociados. En el esquema tradicional, el usuario suele respaldar el acceso mediante una frase de recuperación de 12 o 24 palabras y asume personalmente la tarea de guardarla; si pierde el control de esa frase, también puede perder el acceso a sus fondos.

Los accesos sociales buscan reducir esa barrera, en especial para personas que encuentran difícil administrar una frase de recuperación. En lugar de anotarla y custodiarla, el usuario entra con una cuenta familiar de Google o Apple, mientras la infraestructura de un proveedor como Web3Auth participa en la gestión de las claves relacionadas con la wallet.

La conveniencia tiene una contrapartida: el proceso incorpora componentes externos que también deben protegerse. Si una vulnerabilidad afecta la infraestructura que gestiona o resguarda claves, esas claves podrían quedar expuestas; Web3Auth confirmó que una falla de ese tipo afectó a algunos usuarios de terceros, aunque las compañías aún no precisaron el mecanismo técnico concreto.

El incidente reportado se concentró en las cuentas de Keplr creadas mediante los accesos de Google y Apple. Según la información publicada, las wallets configuradas con una frase de recuperación tradicional no fueron el foco de la exposición de claves descrita, pero esa distinción no sustituye las instrucciones de seguridad que Keplr pueda ofrecer a cada usuario.

La respuesta de Keplr y las preguntas pendientes

Keplr suspendió los inicios de sesión con Google y Apple y puso en marcha esfuerzos de recuperación para las cuentas afectadas. En una actualización, la compañía indicó que estaba transfiriendo activos a direcciones seguras de recuperación en coordinación con Web3Auth. Para quienes utilizaron esos métodos, la recomendación comunicada en la información disponible es tratar la cuenta como potencialmente expuesta y seguir la guía de recuperación de Keplr, en vez de asumir que una cuenta está a salvo porque todavía no observa movimientos sospechosos.

El dato de que el 86% de los fondos rastreados salió después de la advertencia inicial destaca la importancia de la comunicación durante una emergencia. Una alerta puede ayudar a limitar daños, pero su efecto depende de que llegue a tiempo a las personas afectadas y de que estas puedan comprender qué deben hacer para proteger o trasladar sus activos.

El caso también muestra por qué los usuarios deben distinguir entre la facilidad de acceso y el control efectivo de las claves. No implica que todo inicio de sesión social sea inseguro ni que las frases de recuperación eliminen todos los riesgos, pero sí evidencia que una wallet puede depender de servicios externos cuya infraestructura forma parte de la superficie de seguridad.

Quedan por conocerse la causa técnica precisa, el número final de cuentas comprometidas, el total definitivo de pérdidas y la cantidad que podrá recuperarse. Hasta que Keplr y Web3Auth publiquen esos datos, el rastreo de USD $6,01 millones ofrece una referencia inicial sobre el daño, mientras los usuarios afectados siguen dependiendo de las instrucciones y medidas de recuperación que comuniquen ambas compañías.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados