מה קרה לארנקי ההתחברות החברתית של Keplr
הצרות החלו ב-6 וב-7 בנובמבר 2026, כאשר הכספים החלו להתנקז מארנקי Keplr הקשורים לכניסות חברתיות.
Bitquery, ספקית נתונים בלוקצ'יין, עקבה אחר יותר מ-44,041 ארנקים מושפעים במערכת האקולוגית של קוסמוס. היא גם עקבה אחר 7,603 ארנקים ברשת Injective, רשת מבוססת קוסמוס.
Web3Auth אישרה את הפגיעות ב-6 בנובמבר והשהתה את שירות הארנק המשובץ שלו באותו היום.
מייסד שותף של Keplr, ג'וש לי, אמר שהפריצה נבעה מפגם בשירותים של Web3Auth. לדבריו, זה השפיע על כ-20% מהארנקים שנוצרו באמצעות התחברות של גוגל ואפל.
ארנקים שנוצרו בדרך המיושנת לא הראו סימני פשרה. לפי Keplr, חשבונות שהוגדרו עם ביטויי שחזור או התקני חומרה היו בטוחים.
עבור לא מומחים, ההגדרה עובדת כך. ארנק התחברות חברתי מאפשר לך לפתוח חשבון קריפטו עם Gmail או Apple ID שלך במקום לרשום ביטוי סיד של 12 או 24 מילים. ספק צד שלישי, Web3Auth במקרה זה, מטפל בניהול המפתח מאחורי הקלעים.
מדוע הנתון של 6.01 מיליון דולר מעורער
המספר של 6.01 מיליון דולר הגיע מכספי ספירה שזרמו מארנקים שנפגעו במהלך חלון האירוע.
העמדה של Web3Auth היא שהסיכום סחף את העסקאות הלא נכונות. החברה טוענת שחלק מהתנועות בשרשרת שתויגו כגניבה היו למעשה שחזורי "כובע לבן" מגן שבוצעו על ידי Web3Auth ושותפיה.
הבלבול נבע מהאופן שבו ההצלות האלה נראו על השרשרת. פעולות השחזור השתמשו באותם מסלולים טכניים כמו ההתקפות הראשוניות. לכל מי שצפה בבלוקצ'יין, חילוץ ושוד נראו כמעט זהים.
עד 8 בנובמבר, Web3Auth פרסמה רשימה של כתובות שחזור מאומתות. הרשימה מכסה אחת עשרה רשתות מבוססות קוסמוס ושמונה רשתות תואמות EVM. המטרה הייתה לאפשר למשתמשים ולאנליסטים לאשר שנכסים שהוחזרו נחתו בארנקים שהחברה שולטת בהם.
הרשימה הזו היא גם מה ש-Web3Auth מצביע עליה כשהיא מכנה את האומדן של 6.01 מיליון דולר שקרי. אם הכסף יושב בכתובות האלה, נטען בטענה של החברה, הוא לא נגנב.
ערוצים רשמיים בלבד, בבקשה
גם Web3Auth וגם Keplr אמרו למשתמשים להתעלם מכל הצעות שחזור לא רשמיות. הם קראו למשתמשים להסתמך רק על הערוצים של החברות שלהם לעדכונים והדרכה.
Keplr גם המליץ למשתמשים להפסיק להפקיד כספים חדשים לחשבונות שנפגעו. זה אמר להם להעביר נכסים לחשבונות מאובטחים בינתיים.
מה זה אומר על ארנקי כניסה חברתית
כאשר משתמש מחזיק ביטוי שחזור משלו או התקן חומרה, האבטחה שלו תלויה בעיקר בהם. כאשר ספק מנהל את המפתחות, פגם בודד במעלה הזרם יכול להגיע לאלפי ארנקים בבת אחת. ההנחיה של Keplr עצמה הדגישה את הפיצול הזה, שכן ארנקים מבוססי ביטויים וחומרה הגיעו ללא פגע.
המחלוקת על המספר מראה גם חולשה באופן שבו אירועי קריפטו נמדדים בזמן אמת. ניתוח בשרשרת מהיר ושקוף, אבל הוא מראה תנועה, לא כוונה. חילוץ שמשקף התקפה ייחשב כהתקפה עד שמישהו עם יותר הקשר יגיד אחרת.
זה חותך לשני הכיוונים. הערכות מוקדמות יכולות להגזים בנזק, כפי שטוענת Web3Auth שקרה כאן. אבל גם החשבונאות של החברה עצמה לגבי האירוע שלה ראויה לבדיקה, וזו הסיבה שכתובות השחזור שפורסמו חשובות. הם נותנים לגורמים מבחוץ לבדוק את הטענה במקום לקבל אותה באמונה.