איך התגלגל הניקוז
הניתוח של Bitquery זיהה בערך 44,700 ארנקים נפרדים שנגעו בהם בעסקאות לא מורשות. הפירוט שלה מנה 44,041 ארנקים ברשתות האקולוגיות של קוסמוס ו-7,603 ב-Injective.
The Cosmos Hub ספגה את המכה הגדולה ביותר. כ-3.5 מיליון דולר מההפסדים הגיעו מרשת זו בלבד.
חלק מהדמות הזו של Cosmos Hub היה כרוך בנכסים בהימור. כ-1.96 מיליון ATOM בהימורים יצאו החוצה מבלי לעבור את תקופת ביטול ההצמדה הרגילה של 21 יום.
גם נתוני התזמון צורבים. Bitquery עקבה אחר 86% מהכספים שנגרמו ברשתות מקושרות לעסקאות שקרו לאחר ש-Keplr פרסמה את האזהרה הראשונית שלה ב-7 בנובמבר 2026.
במילים פשוטות, רוב הכסף נשאר לאחר שנאמר למשתמשים שמשהו לא בסדר.
איפה האשמה נוחתת
Keplr, מפתח הארנק, ייחס את הפרצה לפגיעות אבטחה ב-Web3Auth. שירות צד שלישי זה מנהל את זרימת הכניסה החברתית ומטפל במפתחות ארנק עבור חשבונות אלה.
Web3Auth אישרה שפגיעות בתשתית שלה חשפה את המפתחות הפרטיים של חלק ממשתמשי צד שלישי. החברה אמרה שהיא נקטה באמצעי הגנה, ואמצעים אלה עולים בקנה אחד עם דפוסי העסקאות של התוקף.
מייסד שותף של Keplr, ג'וש לי, ציין כי ההפרה השפיעה על כ-20% מהחשבונות שנוצרו באמצעות כניסות חברתיות. הוא הוסיף כי רק חלק קטן מהם נוצל עד כה במלואו.
Keplr השעתה את ההתחברות של גוגל ואפל באופן מיידי והחלה במאמצי שחזור עבור חשבונות מושפעים. נכון ל-8 בנובמבר 2026, לא Keplr ולא Web3Auth חשפו את הסיבה הטכנית המדויקת להפרה.
אף אחת מהחברות לא פרסמה סיכום מדויק של הפסדים או מספר החשבונות שנפגעו. גם כמה כסף ניתן להחזיר נותר לא ידוע.
מדוע כניסות חברתיות וביטויי התאוששות הם בעלי חיים שונים
ארנק קריפטו נשלט בסופו של דבר על ידי מפתח פרטי. מי שמחזיק במפתח הזה יכול להעביר את הכספים, נקודה.
הדרך הקלאסית לגבות את המפתח הזה היא ביטוי שחזור, בדרך כלל מחרוזת של 12 או 24 מילים. אתה רושם את זה, מאחסן אותו במקום בטוח, והאחריות מוטלת עליך לחלוטין.
כניסות חברתיות קיימות מכיוון שביטויי שחזור הם, למען האמת, חווית משתמש איומה עבור מצטרפים חדשים. שירותים כמו Web3Auth מאפשרים למשתמשים להיכנס עם חשבונות Google או Apple המוכרים במקום זאת.
הפשרה היא שניהול מפתח נשען על תשתית חיצונית. כאשר בתשתית זו יש פגם, המפתחות שהיא עוזרת לנהל יכולים להיחשף, וזה מה ש-Web3Auth אומר שקרה לחלק מהמשתמשים.
הנזק המדווח באירוע זה מתקבץ סביב חשבונות שנוצרו באמצעות כניסות של גוגל ואפל. משתמשים שהקימו את Keplr עם ביטוי שחזור מסורתי לא היו במוקד החשיפה המרכזית המדווחת.
מה זה אומר על המשתמשים ועל המערכת האקולוגית של קוסמוס
העדיפות המיידית למשתמשים המושפעים היא פשוטה. כל מי שיש לו חשבון Keplr שנוצר באמצעות Google או Apple צריך להתייחס אליו כאל חשוף פוטנציאלי ולפעול לפי הנחיות השחזור של Keplr.
הנתון של 86% לאחר האזהרה הוא הפרט ששווה לשבת איתו. חלק גדול מההפסדים התרחש לאחר שהמשתמשים קיבלו התראה, כך שהמהירות שבה ספקי ארנק יכולים להגיע למשתמשים שלהם במהלך תקרית פעילה עשויה להיות חשובה לא פחות מהתיקון עצמו.
השאלות הפתוחות הן אלו שיש לעקוב אחריהם. Keplr ו-Web3Auth עדיין צריכים להסביר את הסיבה הטכנית המדויקת, לאשר את סך ההפסד הסופי ואת מספר החשבונות המושפעים, ולפרט כמה משתמשים יכולים לצפות לקבל בחזרה.
עד שהתשובות הללו יגיעו, 6.01 מיליון הדולר שמעקב אחר Bitquery הוא רצפה ולא סיכום סופי.