A Keplr, uma carteira amplamente utilizada no ecossistema Cosmos, suspendeu temporariamente os logins do Google e da Apple após receber relatos de transações não autorizadas em algumas carteiras de usuários. A carteira informou em 7 de novembro que as contas afetadas foram criadas por meio de login social e que está investigando o problema em conjunto com a Web3Auth, provedora de autenticação responsável pelo recurso.
A Web3Auth divulgou, no fim do dia 6 de novembro, um problema de segurança que afetou algumas plataformas de terceiros e suspendeu temporariamente seus serviços de carteira integrada como medida de precaução. A empresa afirmou que sua investigação inicial não encontrou evidências de que usuários da MetaMask tenham sido afetados. A avaliação inicial da Keplr também concluiu que contas criadas com uma frase de recuperação ou uma carteira de hardware não foram afetadas.
De acordo com uma declaração atribuída ao cofundador da Keplr, Josh Lee, o incidente teve origem no provedor, e não no próprio código da Keplr. As estimativas iniciais apontam que cerca de 20% das contas com login do Google e da Apple podem ter sido afetadas, embora apenas uma fração desse grupo pareça ter sido explorada. Ele também afirmou que as contas restantes talvez possam ser recuperadas. Esses são números preliminares fornecidos pelas partes envolvidas, e não estatísticas auditadas de forma independente.
A Keplr aconselhou os usuários que podem ter sido afetados a não enviar novos fundos para as contas em questão nem reimportar ou recriar essas contas em outro lugar enquanto a investigação continua. A carteira também alertou os usuários para que confiem apenas nos canais oficiais para obter atualizações e tenham cuidado com mensagens diretas ou links que aleguem oferecer recuperação de ativos.
O incidente destaca um risco estrutural nas carteiras com login social: recursos de conveniência que removem as frases-semente da experiência do usuário também concentram a confiança no provedor de autenticação. Quando essa camada é comprometida, usuários que nunca compartilharam uma chave privada ainda podem perder fundos. A dimensão dos danos ainda está sendo apurada, e nenhuma das partes publicou um valor total de perdas confirmado até o momento da redação deste texto.
O mercado em geral pouco reagiu, com os preços à vista do Bitcoin e do Ether na Binance praticamente estáveis nas últimas 24 horas, sugerindo que os traders, por enquanto, consideram que o evento se restringiu às carteiras afetadas.
Este artigo tem fins meramente informativos e não constitui aconselhamento financeiro. Faça sua própria pesquisa (DYOR) antes de tomar qualquer decisão de investimento.