Web3Auth asegura que trasladó fondos de billeteras Keplr vulnerables antes de que los atacantes pudieran alcanzarlos. Las direcciones de recuperación reúnen unos USD $5,6 millones, mientras Keplr pide a quienes usan inicio de sesión con Google o Apple que trasladen cualquier saldo restante. El cofundador de Keplr estimó que cerca del 20% de esas cuentas podría estar afectado, aunque solo una fracción habría sido explotada.
***

• La falla se relacionó con algunas cuentas Keplr creadas con inicio de sesión de Google o Apple; quienes usaron una frase de recuperación o una billetera de hardware no estarían afectados.
• Las 12 direcciones de recuperación publicadas por Web3Auth contenían unos USD $5,6 millones, principalmente en ATOM de Cosmos Hub.
• Keplr recomienda no depositar más fondos en las cuentas de acceso social y trasladar los saldos restantes a una billetera protegida.

Web3Auth mueve USD $5,6 millones de billeteras Keplr vulnerables para protegerlos de atacantes

Web3Auth, el proveedor de inicio de sesión social utilizado por Keplr Wallet, afirma que trasladó fondos de billeteras vulnerables a direcciones de recuperación para evitar que los alcanzara un atacante. Las 12 direcciones que la empresa publicó reunían unos USD $5,6 millones en criptomonedas al momento de la revisión, según datos onchain examinados por The Block.

La medida respondió a una falla en los sistemas de Web3Auth que expuso claves privadas de algunas cuentas Keplr creadas con Google o Apple. El episodio dejó a los usuarios frente a una situación delicada: la propia operación de rescate podía parecer, a primera vista, otro movimiento no autorizado de fondos.

Una vulnerabilidad en el proveedor, no en el código de Keplr

Josh Lee, cofundador de Keplr, sostuvo que el incidente no se originó en el código de la billetera, sino en Web3Auth, el proveedor que Keplr utiliza para habilitar el acceso mediante cuentas de Google y Apple. Lee estimó que alrededor del 20% de las cuentas de Keplr que usaban esas opciones de inicio de sesión podría estar afectado. También señaló que solo una fracción de ese grupo habría sido efectivamente explotada, por lo que la estimación no equivale a decir que una de cada cinco cuentas fue comprometida.

Keplr indicó que las personas que configuraron sus cuentas con una frase de recuperación o una billetera de hardware no estaban expuestas a esta falla. La diferencia importa porque el problema se relaciona con el método de acceso social ofrecido por el proveedor, y no con todos los tipos de billetera o mecanismos de custodia compatibles con Keplr.

Keplr fue concebida inicialmente para el ecosistema Cosmos, pero hoy también admite numerosas redes ajenas a ese entorno, incluidas redes compatibles con EVM. La compañía había señalado en 2025 que su billetera superaba los 2 millones de usuarios, un alcance que ayuda a dimensionar por qué un incidente en un servicio integrado podía preocupar a usuarios de distintas cadenas.

Consensys adquirió Web3Auth en junio de 2025. La documentación para desarrolladores de MetaMask identifica actualmente el servicio como MetaMask Embedded Wallets, antes Web3Auth. Sin embargo, Web3Auth señaló que no había encontrado pruebas de que usuarios de MetaMask, la billetera insignia de Consensys, estuvieran afectados por el problema reportado en las cuentas vinculadas a Keplr.

El rescate de fondos generó dudas sobre quién los estaba moviendo

Web3Auth dijo el sábado que había comenzado a retirar activos de las billeteras vulnerables que el atacante todavía no había alcanzado, utilizando la misma vía que, según la empresa, había empleado el atacante original. La compañía aseguró que los fondos recuperados estaban seguros y que trabajaba con Keplr para definir cómo devolverlos a sus usuarios.

La referencia a un atacante previo sugiere que algunas cuentas pudieron ser vaciadas antes de que comenzara la operación de recuperación. Web3Auth no precisó cuántas billeteras fueron comprometidas por ese atacante ni qué cantidad habría sustraído, por lo que el alcance de los robos iniciales seguía sin estar claro en la información disponible.

La empresa publicó el domingo por la mañana las direcciones donde dijo mantener los activos recuperados y advirtió que algunas transacciones se habían confundido con actividad del atacante. Esa confusión refleja un problema operativo propio de las respuestas de emergencia en blockchain: aunque los movimientos quedan registrados públicamente, una transferencia visible no revela por sí sola quién controla la dirección ni cuál es su propósito.

Bitquery informó que un ladrón había sustraído al menos USD $6 millones de más de 44.000 billeteras Keplr que usaban Google o Apple, en ocho redes del ecosistema Cosmos. Esa cifra no es directamente equivalente a los USD $5,6 millones que Web3Auth dijo mantener en sus direcciones de recuperación: los datos citados describen, por un lado, fondos atribuidos al atacante y, por otro, activos que la empresa afirma haber resguardado.

ATOM concentra la mayor parte de los activos recuperados

La mayor parte de los fondos de recuperación se encontraba en Cosmos Hub, donde una de las direcciones de Web3Auth mantenía alrededor de 2,49 millones de ATOM, valorados en unos USD $3,3 millones. Ese saldo representaba una porción significativa de los USD $5,6 millones que reunían las 12 direcciones identificadas por la empresa.

Una parte importante de esos ATOM estaba en staking, situación que normalmente implica esperar un período de desvinculación de 21 días antes de poder transferir los activos. Las barridas realizadas durante la respuesta convirtieron esos tokens en activos que podían moverse de inmediato, de acuerdo con la información disponible, en lugar de dejarlos sujetos a ese plazo.

El uso de direcciones de recuperación facilita que la empresa señale públicamente dónde están los activos y permite seguir sus movimientos en la cadena. No obstante, la visibilidad onchain no resuelve automáticamente cuestiones como la verificación de los propietarios afectados, el mecanismo de devolución ni los pasos para demostrar quién tiene derecho a reclamar cada saldo.

Web3Auth había revelado el problema el viernes por la tarde y pausó el servicio que permite a las aplicaciones crear billeteras mediante inicios de sesión sociales. Esa suspensión buscaba detener el uso de la vía afectada mientras la compañía y Keplr coordinaban la respuesta, aunque la información publicada no especificaba cuándo se reanudaría el servicio ni cuál sería el procedimiento final de restitución.

Keplr pide detener depósitos y trasladar los saldos restantes

Lee dijo el sábado que muchas cuentas vulnerables podrían haber evitado el ataque y que solo una fracción del grupo estimado en cerca del 20% habría sido efectivamente explotada. Esa evaluación apuntaba a que todavía podía haber cuentas recuperables, pero no ofrecía una cifra de cuántas permanecían seguras ni garantizaba que los fondos restantes estuvieran fuera de riesgo.

Keplr advirtió que algunas cuentas podían mostrar saldos reducidos o vacíos como resultado de las medidas de mitigación. La billetera pidió a quienes usan Google o Apple para iniciar sesión que no envíen más fondos a esas cuentas y recomendó trasladar cualquier saldo restante a una billetera protegida con una frase de recuperación o un dispositivo de hardware.

La empresa también dijo que trabaja con Web3Auth en una forma para que los usuarios comprueben si sus cuentas fueron afectadas. Hasta que ese mecanismo esté disponible y se defina el proceso de devolución, las instrucciones públicas se centran en evitar nuevos depósitos y mover los activos que todavía permanezcan en las cuentas vulnerables.

El caso distingue entre una falla en un proveedor integrado y un defecto en el software de la billetera que lo utiliza, pero para el usuario la exposición puede sentirse igual de urgente si sus claves quedan comprometidas. Los USD $5,6 millones anunciados en direcciones de recuperación ofrecen una señal de contención, mientras que la cantidad realmente sustraída, el número de cuentas explotadas y el calendario para devolver los fondos siguen sin una precisión pública.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín