Keplr, una billetera muy utilizada en el ecosistema Cosmos, ha suspendido temporalmente los inicios de sesión con Google y Apple tras recibir informes de transacciones no autorizadas en algunas billeteras de usuarios. El 7 de noviembre, la billetera informó que las cuentas afectadas se habían creado mediante el inicio de sesión social y que está investigando el problema junto con Web3Auth, el proveedor de autenticación que ofrece esta función.
Web3Auth reveló a última hora del 6 de noviembre un problema de seguridad que afectaba a algunas plataformas de terceros y suspendió temporalmente sus servicios de billetera integrada como medida de precaución. La empresa afirmó que su investigación preliminar no encontró indicios de que los usuarios de MetaMask se hubieran visto afectados. La evaluación inicial de Keplr también determinó que las cuentas creadas con una frase de recuperación o una billetera de hardware no se habían visto afectadas.
Según una declaración atribuida al cofundador de Keplr, Josh Lee, el incidente se originó en el proveedor y no en el código de Keplr. Las primeras estimaciones situaron en torno al 20 % la proporción de cuentas con inicio de sesión de Google y Apple que podrían haberse visto afectadas, y solo una parte de ellas parece haber sido objeto de explotación. También afirmó que quizá sea posible recuperar las cuentas restantes. Se trata de cifras preliminares proporcionadas por las partes implicadas, no de estadísticas auditadas de forma independiente.
Keplr aconsejó a los usuarios que podrían verse afectados que no enviaran nuevos fondos a las cuentas en cuestión y que no volvieran a importar ni recrear esas cuentas en otro lugar mientras continúa la investigación. La billetera también advirtió a los usuarios que se informaran únicamente a través de los canales oficiales y que desconfiaran de los mensajes directos o enlaces que prometieran recuperar sus activos.
El incidente pone de manifiesto un riesgo estructural de las billeteras con inicio de sesión social: las funciones que ofrecen comodidad al eliminar las frases semilla de la experiencia del usuario también concentran la confianza en el proveedor de autenticación. Si esa capa se ve comprometida, los usuarios que nunca compartieron una clave privada pueden perder fondos de todos modos. Aún se está determinando el alcance de los daños y, hasta el momento de redactar este artículo, ninguna de las partes ha publicado una cifra total de pérdidas verificada.
El mercado en general reaccionó poco: los precios al contado de Bitcoin y Ether en Binance se mantuvieron prácticamente estables durante las últimas 24 horas, lo que sugiere que, por ahora, los operadores consideran que el incidente se limita a las billeteras afectadas.
Este artículo tiene únicamente fines informativos y no constituye asesoramiento financiero. Investiga por tu cuenta (DYOR) antes de tomar cualquier decisión de inversión.