Keplrウォレットで600万ドル規模の資金流出か、Google・Appleログイン停止と560万ドルの回収を急遽発表| NEXTMONEY

Web3Authのインフラ脆弱性が原因で秘密鍵が露出

暗号資産ウォレットKeplr（ケプラー）において、外部の認証インフラを標的とした大規模なセキュリティインシデントが発生したことが明らかになった。

We have received reports of unauthorized transactions on some Keplr accounts created with Google or Apple login. We flagged this to the @Web3Auth team and have been working with them on the investigation since. Based on our initial assessment: if you created your Keplr wallet with a recovery phrase or a hardware wallet, you are NOT affected. If you created your Keplr account with Google or Apple login, your account may be affected. While we investigate: – Do not send new funds to that account. – Do not re-import or recreate it anywhere. – Google/Apple login is paused for now. – Trust updates only from this account. Ignore DMs or links offering “recovery”. We will share verified details and next steps here as soon as we have them.

— Keplr Wallet (@keplrwallet) November 7, 2026

日本語訳：
Google または Apple ログインを使用して作成された一部の Keplr アカウントで、不正な取引の報告を受け取りました。これを Web3Auth チームに報告し、調査に向けて彼らと協力して作業を進めています。
私たちの初期評価に基づくと…

今回の影響により、GoogleやAppleのアカウントを利用するソーシャルログイン機能が緊急停止され、オンチェーンデータ上では600万ドル（約9.5億円）規模の資金が移動したことが確認されている。

今回の被害はKeplr本体のコードではなく、認証サービスを提供するサードパーティWeb3Authのインフラ欠陥に起因していることが判明。ソーシャルログインを利用していたユーザーの一部で秘密鍵が露呈し、Cosmos Hub（コスモスハブ）やOsmosis（オズモシス）、Celestia（セレスティア）など複数のネットワークにわたる4万4,000件以上のアドレスから、資金の流出や不審なトランザクションが相次いだ。また、通常21日かかるアンボンディング期間を回避するため、リキッドステーキングの仕組みを悪用した資産移動も確認されている。

560万ドルをホワイトハット回収も被害全容の解明は途上

初期の調査では攻撃者による約601万ドルの不正奪取と見られていたが、状況は一転。Web3Authは、残された脆弱な資産を攻撃者から保護するため、同様のアクセス経路を用いたホワイトハット（善意の資産保護）による回収作業を実行。疑わしい送金先とされていたアドレスのうち複数（合計約560万ドル相当）が、実際にはWeb3Authの管理する正規の回収用ウォレットであったことが発表された。

これに伴い、確認された601万ドルという数字はあくまで全体の移動額であり、確定的な被害額とは言えない状態だ。

ただし、資産が移動する前にすでに資金を抜き取られていたケースも確認されており、攻撃者の手元に渡った最終的な損失額や救出された資産の比率、受託者への具体的な補償内容については未だ明らかにされていない。