Web3AuthはKeplrの601万ドル盗難推計に異議を唱え、資金は復旧用ウォレットに移されたと述べる

ソーシャルログインプロバイダーは、窃盗として報告されたオンチェーンの資金移動の一部は、検証済みアドレスに送られたホワイトハット回収によるものだと述べている。

2026年11月8日（日）08:13 EST · 読了時間3分

暗号資産業界で

Web3Authは、暗号資産界隈で瞬く間に広まったある数字に異議を唱えている。Keplrのソーシャルログインウォレットから601万ドルが盗まれたという報道だ。

同社は、問題の資金は攻撃者の懐ではなく、検証済みのリカバリーウォレットに移動したため、その推計は誤りだったと述べている。

この論争が重要なのは、それが実際のセキュリティインシデントを背景にしているからだ。Web3Authのサービスにおける脆弱性が、GoogleやAppleのアカウントでサインインしていたKeplrのユーザーを直撃した。未解決の問いは、それらのウォレットから流出した資金のうち、実際に失われたのはどれだけなのかという点である。

Keplrのソーシャルログインウォレットに何が起きたのか

問題は2026年11月6日から7日にかけて始まり、ソーシャルログインに紐づくKeplrウォレットから資金が流出し始めた。

ブロックチェーンデータプロバイダーのBitqueryは、Cosmosエコシステム内で44,041を超える影響を受けたウォレットを追跡した。また、CosmosベースのチェーンであるInjective上の7,603のウォレットも追跡した。

Web3Authは11月6日に脆弱性を確認し、同日に組み込み型ウォレットサービスを一時停止した。

Keplrの共同創業者ジョシュ・リー氏は、この侵害はWeb3Authのサービスにおける欠陥に起因すると述べた。同氏によると、GoogleおよびAppleのログインを通じて作成されたウォレットの約20%が影響を受けたという。

従来の方法で作成されたウォレットには侵害の兆候は見られなかった。Keplrによると、リカバリーフレーズやハードウェアデバイスで設定されたアカウントは安全だった。

専門家でない人向けに説明すると、仕組みは次のとおりだ。ソーシャルログイン型ウォレットを使えば、12語や24語のシードフレーズを書き留める代わりに、GmailやApple IDで暗号資産口座を開設できる。この場合、第三者プロバイダーであるWeb3Authが背後で鍵管理を担う。

6,010,000ドルという数字がなぜ争われているのか

6,010,000ドルという数字は、インシデント発生時間帯に影響を受けたウォレットから流出した資金を集計したものだ。

Web3Authの主張は、その集計が誤った取引を拾い上げたというものだ。同社によれば、窃盗と分類されたオンチェーン上の移動の一部は、実際にはWeb3Authとそのパートナーが実行した保護的な「ホワイトハット」回収であった。

混乱は、そうした救済がオンチェーン上でどのように見えたかに由来していた。復旧作業は当初の攻撃と同じ技術的経路を用いていた。ブロックチェーンを監視する者にとって、救済と強奪はほぼ見分けがつかなかった。

11月8日までに、Web3Authは検証済みの回収アドレス一覧を公開した。この一覧はCosmosベースの11ネットワークとEVM互換の8チェーンを対象としている。目的は、回収された資産が同社の管理下にあるウォレットに着地したことをユーザーとアナリストが確認できるようにすることだった。

Web3Authが601万ドルの推計を誤りだと主張する際に持ち出すのも、このリストだ。同社の主張によれば、資金がこれらのアドレスに存在するのであれば、盗まれたことにはならない。

公式チャネルのみをご利用ください。

Web3AuthとKeplrはともに、非公式のリカバリー提案は無視するようユーザーに呼びかけた。両社は、最新情報や案内については各社の公式チャネルのみを信頼するようユーザーに促した。

Keplrはまた、影響を受けたアカウントへの新規資金の入金を中止するようユーザーに助言した。当面の間、資産を安全なアカウントに移すよう呼びかけた。

ソーシャルログインウォレットにとってこれが意味するもの

ユーザーが自身のリカバリーフレーズやハードウェアデバイスを保有している場合、その安全性は主にユーザー自身に依存する。一方、プロバイダーが鍵を管理している場合、上流の単一の欠陥が一度に数千のウォレットに波及し得る。Keplr自身のガイダンスもこの区分を強調しており、フレーズベースのウォレットとハードウェアウォレットは無傷で済んだとしている。

この数字をめぐる論争は、暗号資産のインシデントがリアルタイムでどのように測定されるかという弱点も浮き彫りにしている。オンチェーン分析は迅速かつ透明だが、示されるのは動きであり、意図ではない。攻撃を模した救済措置は、より多くの文脈を持つ誰かが別の見解を示すまで、攻撃として数えられる。

これは諸刃の剣だ。初期の推計は被害を過大評価することがあり、Web3Authは今回まさにそれが起きたと主張している。しかし、企業自身によるインシデントの説明も精査に値する。だからこそ、公開された回収用アドレスが重要なのである。外部の者がそれを鵜呑みにせず、主張を検証できるからだ。

開示：本記事はJohn Chenによって編集されました。コンテンツの作成およびレビュー方法の詳細については、編集ポリシーをご覧ください。