Web3Auth遭入侵:超44,000个Keplr钱包被抽走600万美元

周六事件波及Cosmos八大网络

11月7日星期六事发已超过24小时,Consensys旗下钱包认证基础设施Web3Auth的入侵事件仍在紧急处置中,公司正设法为受影响用户追回资产。首份报告出现后一天多的时间里,调查与协议紧急补丁工作持续推进。Web3Auth已确认,攻击者触及了其嵌入方案在Keplr内开通的钱包,其中以使用谷歌或苹果账号登录的账户为主。嵌入钱包技术让应用能在常见的网页登录背后生成一个钱包,降低了用户门槛,但代价是把底层私钥材料的托管集中到基础设施提供商而非用户手中。正是这一设计,把单一的基础设施缺陷放大成了大规模的密钥泄露事件。链上数据显示,损失至少为600万美元,涉及超过44,000个钱包,随着追踪在受影响网络间继续推进,这一数字可能还会变动。这些钱包全部位于Cosmos生态的八个网络上,其中包括Cosmos Hub、Osmosis、Celestia和Injective。Keplr已提醒用户不要向被入侵的钱包地址存入新资金,因为流入已暴露账户的任何资产都会落入抽走资金的路径。Web3Auth一方则直接停用了嵌入钱包服务,并对受漏洞影响的资产展开追回工作。整体服务下线而非逐个修补账户,说明提供商尚无法界定暴露范围。Web3Auth尚未披露密钥是如何被提取的、各登录渠道下开通了多少账户,以及其他登录流程是否也暴露在风险中。这次11月7日的入侵及其后的紧急应对,可能加剧本已脆弱的加密市场的压力。

Trust Wallet与MetaMask均报告未受影响

入侵是否波及Cosmos之外,是其他钱包提供商首先必须回答的问题,而初步答案偏向头部机构。MetaMask表示未发现用户受影响的证据,并称局面仍在掌控之中;Trust Wallet代表Felix则在X平台公开发帖确认,公司产品未受Web3Auth入侵事件波及。其他第三方集成的受影响情况尚待确认,这对每一个依赖该已停用嵌入钱包服务的应用来说都是悬而未决的问题。对Trust Wallet自身用户而言,这份确认与一连串独立的安全提示同期到来,包括GoPlus Security标记的56.1万美元iOS钱包被盗事件、公司称无需用户操作的严重PHP漏洞,以及CZ对支持三款主流钱包的Trust Wallet假冒网站发出的警告。用户在收到此类警告后若不确定下一步怎么做,可以了解如何找回被入侵的加密钱包。此次事件还落在一个巨额损失频发的年份里。据报道,币安在10月29日星期四遭遇了规模约63亿美元的入侵;Bitget在9月的漏洞利用事件则估计损失3.875亿美元。需要说明的是,币安这一数字属于报道中的估计而非经确认的账目,即便如此,其规模仍高出Web3Auth损失数个数量级。2026年早些时候,KelpDAO因跨链基础设施遭攻击损失约2.9亿美元。此类事件同时波及去中心化金融协议、钱包基础设施与智能合约,影响市场情绪、投资者损失以及整个行业的安全记录。基于嵌入钱包技术的项目与Cosmos相关资产首当其冲,接连的安全事故可能进一步损害其市场地位。目前尚无证据证明Web3Auth漏洞与包括比特币、以太坊在内的更广泛市场下跌存在关联。

链上追踪确认根本原因

让这次事件可信而非停留在传闻层面的,是链上记录本身:超过44,000个地址上被抽走的600万美元可以在公开浏览器上追踪,而经Web3Auth自己确认的根本原因,位于其认证基础设施,而非Keplr的核心签名环节。所描述的入侵路径集中在社交登录开通的钱包上,不涉及用户自行保管助记词的钱包。目前仍未见正式的事后报告:公司承认了基础设施问题、停用了服务并启动追回,但既未解释密钥如何泄露,也未说明将做出哪些工程改动以防再次发生。对TWT持有者而言,Trust Wallet已确认未受影响,使该代币位于此次事件的直接冲击范围之外,当前悬而未决的风险落在尚未确认结果的第三方集成上。