KeplrでGoogleまたはAppleのソーシャルログインを利用する一部口座に、身に覚えのない取引が確認された。ログイン基盤を提供するWeb3Authはセキュリティ上の問題を受けて関連サービスを停止している。焦点はログインの復旧だけではない。秘密鍵が流出した可能性や、資産をどう保全するかも確認が必要だ。秘密鍵を別のウォレットにインポートできても、それだけで鍵が本人だけの管理下にあるとは証明できない。
Web3Authがサービス停止、再開時期は未定
Keplrは11月7日、GoogleまたはAppleログインを使う一部口座で不正取引が発生したとして、両ログイン方式を一時停止した。同日、Web3Authもインフラ上のセキュリティ問題を確認したと発表。Keplrが利用する一部の組み込み型ウォレットに影響したとしている。
Web3Authのステータス通知によると、メンテナンスは11月6日18時30分（UTC）に始まり、セキュリティ事案への対応に伴うものだった。11月8日13時08分（UTC）時点でも、サービス復旧後に更新を知らせるとの表示にとどまり、再開は確認されていない。掲載されたメンテナンス時間は11月7日に終了していたが、サービスが復旧したことを示す情報はなかった。
MetaMask Builderは11月7日の告知で、初期調査ではMetaMaskユーザーへの影響は確認されていないと説明した。ただし、これはMetaMaskユーザーについての説明であり、Keplrの対象口座数や資産の処置状況が明らかになったことを意味しない。
秘密鍵のインポートでは流出リスクを解消できず
Keplrが2025年9月に更新したセキュリティ説明によると、Googleログインの口座ではニーモニックではなく、Web3Authが生成する16進数形式の秘密鍵を使用する。鍵は暗号化され、ユーザーの端末に保存されるという。説明には秘密鍵を確認する方法も記載されているが、一部の旧口座では利用できない場合がある。モバイル版のガイドでは、Googleログインと、ニーモニックまたは秘密鍵による口座のインポートを別の手順として案内し、秘密鍵を安全に保管するよう促している。
こうした通常時の案内からは、Googleログインとは別に秘密鍵で口座へアクセスできる設計がうかがえる。一方、秘密鍵の確認・エクスポート機能が通常存在することは、サービス停止中に影響を受けた全ユーザーが実際に鍵を取得できる証拠にはならない。公開されている手順も、今回の事案で代替ログインが使えたかどうかを確認するものではない。
さらにKeplrは11月7日の続報で、一部のソーシャルログイン利用者の秘密鍵が流出したと説明し、Web3Authと資産保護に取り組んでいるとした。ニーモニックまたはハードウェアウォレットで作成した口座は影響を受けていない一方、GoogleまたはAppleログインの口座は影響を受けた可能性があるという。影響が疑われるユーザーには、該当口座へ新たな資金を送らず、残っている移動可能な資産をニーモニックまたはハードウェアウォレットを使う口座へ移すよう勧めている。
同じ秘密鍵を別のウォレットにインポートしても、変わるのは口座にアクセスするソフトウェアだ。取引を承認するための秘密鍵そのものは変わらない。鍵がすでに流出していれば、別の画面からアクセスしても、第三者が鍵を使えないと確認したことにはならない。一般的なインポート手順は、Keplrが今回案内した対応の代わりにはならず、すべての影響口座で使える解決策とも限らない。
残高の変動は復旧措置と分けて確認
Web3Authは、同社とパートナーがホワイトハットによる復旧対応を始めたと説明した。まだ被害を受けていない脆弱なKeplrウォレットを対象に、攻撃者と同じ経路を使って措置を講じたという。一方、Keplrは一部口座の残高減少やゼロ化について、被害の抑制策に関連している可能性があると説明している。ステーキング中やロック中の資産も対応を複雑にしている。
見覚えのない送金や残高の減少があっても、それだけで攻撃によるものか、資産保護のための措置か、別の処理によるものかは判断できない。口座ごとの影響、資産回復の進捗、ユーザーが秘密鍵を取得できるかは、それぞれ確認が必要だ。ログインサービスが復旧しても、確認できるのはサービスの利用可否であり、秘密鍵の安全や資産の返還を単独で裏付けるものではない。