社交登錄私鑰暴露 4.4萬個Cosmos錢包遭批量清空
Web3Auth底層基礎設施漏洞，引發Cosmos生態主流錢包Keplr大規模資金異動。鏈上分析機構Bitquery監測顯示，11月6日晚間起，攻擊者利用暴露的私鑰發起持續清空操作。目標是用谷歌和蘋果社交登錄創建的Keplr錢包。
累計波及七條關聯鏈上的44041個錢包。去重後估算，受影響獨立錢包達44700個。鏈上監測到的資產轉移總額至少達到601萬美元。
事件發生後，Web3Auth宣佈展開白帽救援。大量受威脅資產被轉移至官方安全託管錢包。Web3Auth同時反駁601萬美元全部屬於黑客盜竊的估算。
Keplr隨後緊急關閉了谷歌和蘋果社交登錄入口。官方強調，採用12或24個單詞傳統助記詞以及硬件錢包保管的賬戶未受任何影響。
漏洞源頭在Web3Auth 約兩成社交登錄賬戶受波及
本次安全事件的核心根源，在於第三方嵌入式認證服務商Web3Auth的基礎設施故障。Web3Auth於2025年併入MetaMask母公司Consensys。它主要爲去中心化應用提供無需記憶複雜助記詞的社交登錄服務。
11月6日，Web3Auth檢測到底層服務異常。公司緊急暫停了嵌入式錢包服務，並將系統切換至維護狀態。然而，部分Keplr社交登錄用戶的私鑰在本次故障中遭到暴露。
Keplr開發商Chainapsis聯合創始人Josh Lee隨後澄清，安全漏洞源自Web3Auth的底層系統，而非Keplr自身的軟件代碼。初步估算，約有20%的社交登錄賬戶受到波及。
同一私鑰控制多鏈地址 清空操作蔓延八個網絡
在Cosmos生態的多鏈架構下，同一個私鑰能夠同時控制不同區塊鏈網絡上的同源地址。鏈上記錄顯示，資金清空操作迅速蔓延至Cosmos Hub、Osmosis、Celestia、Akash、Noble、Injective、dYdX以及Babylon等八個生態網絡。
Bitquery鏈上取證表明，攻擊者調集了獨立的手續費錢包。多達6個受害錢包被打包進單個批處理交易中同步清空。在全部受害錢包中，單筆最大損失達到32.5萬美元，中位數損失爲1.34美元。
統計顯示，高達86%的受害者是在Keplr於11月7日發出官方預警之後被清空的。原因在於私鑰一旦暴露，單純暫停前端登錄界面並不能阻止鏈上腳本調用私鑰發起轉賬。
繞過21天質押解綁期 流動性質押份額被惡意利用
在本次資產轉移過程中，鏈上質押資產的清算方式暴露出跨鏈流動性風險。在Cosmos Hub網絡中，質押的ATOM資產通常需要經過長達21天的解綁期才能恢復流動性。
然而，攻擊者利用網絡支持的流動性質押份額化功能，將受害錢包中的質押倉位強制轉化爲可流通的份額代幣。21天的等待時間被直接繞過。質押代幣隨後被直接轉入歸集地址。
鏈上數據顯示，攻擊者通過這種手段累計轉走了196萬枚質押ATOM。代幣化過程中，還順帶收割了原本歸屬於質押者的25.1萬美元質押獎勵。共有13030個錢包在代幣化批處理中被清空。
此外，在Noble鏈上還有81006枚USDC被轉移至歸集地址。由於USDC由中心化機構發行，發行方Circle具備鏈上凍結該地址資產的技術權限。按鏈上統計，Cosmos Hub網絡流出資產約350萬美元，Osmosis網絡流出約104萬美元，Injective網絡流出約61.5萬美元。
白帽救援與黑客盜刷交織 官方公佈多鏈受控託管清單
隨着鏈上資金異動持續發酵，事件的實際定性出現了重要反轉。Web3Auth官方公開反駁了601萬美元資金全部失竊的說法。官方表示，許多被安全分析平臺標記爲黑客攻擊的轉移行爲，實際上屬於官方與合作伙伴執行的白帽防護轉賬。
官方利用相同的權限路徑，搶在惡意黑客之前將脆弱錢包內的資產轉移至安全地址。11月8日，Keplr官方正式確認了Web3Auth提交的多鏈救援地址清單。公告指出，“Web3Auth has verified the following addresses as related to the recovery efforts, not malicious/exploit addresses”。
該清單涵蓋了Cosmos Hub、Osmosis、Celestia、Akash、Noble、Injective、dYdX、Babylon、Axelar、Saga、Agoric等十餘條鏈以及EVM兼容地址。Web3Auth隨後發表聲明確認，“we have been transferring assets into secure recovery wallets, with assistance from Keplr.”。
兩家機構目前正就受保護資產的核實與返還方案展開協作。雙方同時告誡所有受波及用戶，切勿向社交登錄賬戶存入新資產。用戶還需高度警惕社交平臺上假冒官方名義兜售的追回欺詐陷阱。
