社交登录私钥暴露 4.4万个Cosmos钱包遭批量清空
Web3Auth底层基础设施漏洞，引发Cosmos生态主流钱包Keplr大规模资金异动。链上分析机构Bitquery监测显示，11月6日晚间起，攻击者利用暴露的私钥发起持续清空操作。目标是用谷歌和苹果社交登录创建的Keplr钱包。
累计波及七条关联链上的44041个钱包。去重后估算，受影响独立钱包达44700个。链上监测到的资产转移总额至少达到601万美元。
事件发生后，Web3Auth宣布展开白帽救援。大量受威胁资产被转移至官方安全托管钱包。Web3Auth同时反驳601万美元全部属于黑客盗窃的估算。
Keplr随后紧急关闭了谷歌和苹果社交登录入口。官方强调，采用12或24个单词传统助记词以及硬件钱包保管的账户未受任何影响。
漏洞源头在Web3Auth 约两成社交登录账户受波及
本次安全事件的核心根源，在于第三方嵌入式认证服务商Web3Auth的基础设施故障。Web3Auth于2025年并入MetaMask母公司Consensys。它主要为去中心化应用提供无需记忆复杂助记词的社交登录服务。
11月6日，Web3Auth检测到底层服务异常。公司紧急暂停了嵌入式钱包服务，并将系统切换至维护状态。然而，部分Keplr社交登录用户的私钥在本次故障中遭到暴露。
Keplr开发商Chainapsis联合创始人Josh Lee随后澄清，安全漏洞源自Web3Auth的底层系统，而非Keplr自身的软件代码。初步估算，约有20%的社交登录账户受到波及。
同一私钥控制多链地址 清空操作蔓延八个网络
在Cosmos生态的多链架构下，同一个私钥能够同时控制不同区块链网络上的同源地址。链上记录显示，资金清空操作迅速蔓延至Cosmos Hub、Osmosis、Celestia、Akash、Noble、Injective、dYdX以及Babylon等八个生态网络。
Bitquery链上取证表明，攻击者调集了独立的手续费钱包。多达6个受害钱包被打包进单个批处理交易中同步清空。在全部受害钱包中，单笔最大损失达到32.5万美元，中位数损失为1.34美元。
统计显示，高达86%的受害者是在Keplr于11月7日发出官方预警之后被清空的。原因在于私钥一旦暴露，单纯暂停前端登录界面并不能阻止链上脚本调用私钥发起转账。
绕过21天质押解绑期 流动性质押份额被恶意利用
在本次资产转移过程中，链上质押资产的清算方式暴露出跨链流动性风险。在Cosmos Hub网络中，质押的ATOM资产通常需要经过长达21天的解绑期才能恢复流动性。
然而，攻击者利用网络支持的流动性质押份额化功能，将受害钱包中的质押仓位强制转化为可流通的份额代币。21天的等待时间被直接绕过。质押代币随后被直接转入归集地址。
链上数据显示，攻击者通过这种手段累计转走了196万枚质押ATOM。代币化过程中，还顺带收割了原本归属于质押者的25.1万美元质押奖励。共有13030个钱包在代币化批处理中被清空。
此外，在Noble链上还有81006枚USDC被转移至归集地址。由于USDC由中心化机构发行，发行方Circle具备链上冻结该地址资产的技术权限。按链上统计，Cosmos Hub网络流出资产约350万美元，Osmosis网络流出约104万美元，Injective网络流出约61.5万美元。
白帽救援与黑客盗刷交织 官方公布多链受控托管清单
随着链上资金异动持续发酵，事件的实际定性出现了重要反转。Web3Auth官方公开反驳了601万美元资金全部失窃的说法。官方表示，许多被安全分析平台标记为黑客攻击的转移行为，实际上属于官方与合作伙伴执行的白帽防护转账。
官方利用相同的权限路径，抢在恶意黑客之前将脆弱钱包内的资产转移至安全地址。11月8日，Keplr官方正式确认了Web3Auth提交的多链救援地址清单。公告指出，“Web3Auth has verified the following addresses as related to the recovery efforts, not malicious/exploit addresses”。
该清单涵盖了Cosmos Hub、Osmosis、Celestia、Akash、Noble、Injective、dYdX、Babylon、Axelar、Saga、Agoric等十余条链以及EVM兼容地址。Web3Auth随后发表声明确认，“we have been transferring assets into secure recovery wallets, with assistance from Keplr.”。
两家机构目前正就受保护资产的核实与返还方案展开协作。双方同时告诫所有受波及用户，切勿向社交登录账户存入新资产。用户还需高度警惕社交平台上假冒官方名义兜售的追回欺诈陷阱。
