11月6日深夜到7日，Keplr钱包出了一件很邪门的事。用谷歌或苹果账号登录建钱包的用户，私钥被人从Web3Auth的基础设施里翻了出来。Bitquery数过，4.4万多个钱包在18个小时里被掏，链上能对上的金额约601万美元。不过这个数里混着Web3Auth自己转走的救命钱，真正被黑客拿走多少还没法定数。更扎心的是其中一个数字，86%被掏的钱，是在Keplr发出警告之后才被转走的。警告发出去了，钥匙已经在别人手里，关登录根本拦不住。

先说清这次到底是谁的锅。Keplr联合创始人Josh Lee自己讲了，漏洞出在Web3Auth的基础设施，Keplr自己的代码没问题。用助记词建钱包、接硬件钱包的账户，这次没事，出事的是走谷歌或苹果一键登录的那批，大概占这类账户的两成。Web3Auth在6号晚上先认了服务有安全问题，暂停了嵌入式钱包服务，Keplr在7号凌晨4点38分发了警告，叫用户别再往这类账户里打钱。照Bitquery的统计，警告之后被掏的反而占了大多数，Cosmos Hub一条链上就被数出约350万美元。还有196万枚质押的ATOM，没走21天解绑期就被直接转走。

最值得写的一段，是后半程。Web3Auth发现私钥泄露的口子之后，没只顾着发公告，顺着同一个口子抢在黑客前面，把还没被掏的钱包里的钱先转出来。11月8日，它公布了12个回收地址，里面放着约560万美元。链上调查起初把其中8个地址当成了黑客的钱包，后来才确认那是Web3Auth自己的回收地址。Cosmos Hub那个回收地址里，光ATOM就有249万枚，约330万美元。漏洞本身不分好坏，谁先跑到，谁就先拿到钱。

对散户来说，教训不在Keplr，在自己手里的钱包是怎么建的。一键登录建钱包，图的是方便，代价是私钥不在自己手里，存在第三方服务商那里。服务商一出事，你连反应时间都没有，警告出来的时候，钱可能已经在路上了。还有一点容易被忽略，Web3Auth救回来的钱，官方没说什么时候、按什么流程还给用户，最终被偷走多少、根因到底是什么，到11月8日晚上都没公布。已经有人借着恢复资产的名义发钓鱼链接，Keplr和Web3Auth都提醒只认官方渠道。

我的观点就一句，钱包的钥匙只能在自己手里，一键登录的方便，迟早要拿真金白银还。

现在就打开你常用的钱包看一眼，它当初是助记词建的，还是谷歌或苹果一键登录建的？

#Keplr #Web3Auth #钱包安全 #安全复盘 #Cosmos

—— web3韭菜小凯

本文仅为个人观点分享，不构成任何投资建议，数据来源 The Block、Bitquery、Coinpaper、CryptoCompass 与公开报道，金额为链上追踪估值，行情随时变化，请自行判断风险。