Keplr의 일부 Google·Apple 소셜 로그인 계정에서 무단 거래가 발생해 로그인 서비스 제공업체 Web3Auth가 관련 서비스를 중단했다. 로그인 가능 여부뿐 아니라 개인키가 노출됐는지, 자산을 어떻게 보호할지가 쟁점이다. 기존 개인키를 다른 지갑에 가져오더라도 이는 접속 수단을 바꾸는 것일 뿐, 키를 사용자만 보유하고 있다는 증거가 되지는 않는다.
Web3Auth 서비스 중단…재개 시점은 미정
Keplr는 11월 7일 일부 Google·Apple 로그인 계정에서 무단 거래가 확인됐다며 두 로그인 방식을 일시 중단했다. 같은 날 Web3Auth도 자사 인프라에서 보안 문제가 발견됐으며, Keplr가 사용하는 일부 임베디드 지갑에 영향을 미쳤다고 밝혔다.
Web3Auth 서비스 상태 페이지는 보안 사고와 관련한 유지보수가 11월 6일 18시 30분(UTC)부터 진행됐다고 안내했다. 11월 8일 13시 8분(UTC) 기준으로는 서비스가 복구되면 업데이트하겠다는 공지만 게시돼 있었다. 페이지에 표시된 유지보수 예정 시간은 11월 7일 종료됐지만, 서비스 복구 여부는 확인되지 않았다.
MetaMask Builder는 11월 7일 공지에서 초기 조사 결과 MetaMask 이용자에게는 영향이 확인되지 않았다고 밝혔다. 다만 이는 MetaMask 이용자에 관한 설명이며, Keplr의 영향 계정 범위나 자산 처리 상황이 정리됐다는 의미는 아니다.
개인키 가져와도 유출 위험은 남아
Keplr가 2025년 9월 업데이트한 보안 안내에 따르면 Google 로그인 계정은 시드 구문이 아닌 Web3Auth 생성 16진수 개인키를 사용한다. 키는 암호화돼 이용자 기기에 저장된다. 안내에는 개인키 확인 방법도 나와 있지만, 일부 구형 계정에는 해당 기능이 적용되지 않을 수 있다. Keplr 모바일 가이드는 Google 로그인과 시드 구문 또는 개인키를 이용한 계정 가져오기를 각각 설명하며, 개인키를 안전하게 보관하라고 안내한다.
이 같은 일반 안내는 개인키를 Google 로그인과 별개의 접속 수단으로 사용할 수 있다는 점을 보여준다. 그러나 평소 개인키를 확인하거나 내보낼 수 있다는 설명만으로 서비스 중단 기간에 모든 피해 가능 이용자가 실제로 키를 확보할 수 있었다고 볼 수는 없다. 관련 문서도 이번 사고에서 대체 로그인 절차가 작동했는지는 확인하지 않았다.
더욱이 Keplr는 11월 7일 후속 공지에서 일부 소셜 로그인 이용자의 개인키가 유출됐다며 Web3Auth와 함께 자산 보호에 나서고 있다고 밝혔다. 시드 구문이나 하드웨어 지갑으로 만든 계정은 영향을 받지 않았지만, Google·Apple 로그인 계정은 영향을 받았을 가능성이 있다고 설명했다. Keplr는 피해 가능성이 있는 이용자에게 해당 계정으로 새 자금을 보내지 말고, 남아 있는 이동 가능한 자산은 시드 구문 또는 하드웨어 지갑을 사용하는 계정으로 옮기라고 권고했다.
같은 개인키를 다른 지갑에 가져오면 계정에 접속하는 소프트웨어만 바뀐다. 거래 승인에 쓰이는 키 자체는 그대로다. 이미 키가 노출됐다면 다른 지갑 화면을 이용한다고 해서 제3자가 키를 사용할 수 없다는 점이 입증되지는 않는다. 따라서 일반적인 개인키 가져오기 안내는 이번 사고에 대한 Keplr의 대응 권고를 대신할 수 없으며, 모든 피해 계정에 적용 가능한 해결책으로 볼 수도 없다.
잔액 변동, 복구 조치와 함께 확인해야
Web3Auth는 자사와 협력사들이 아직 피해를 입지 않은 취약한 Keplr 지갑을 대상으로 화이트햇 복구 작업에 착수했으며, 공격자가 사용한 경로를 활용하고 있다고 밝혔다. Keplr는 일부 계정의 잔액 감소나 소진이 피해 완화 조치와 관련됐을 수 있다고 설명했다. 스테이킹되거나 잠겨 있는 자산도 처리 과정을 복잡하게 만들고 있다.
따라서 낯선 송금 내역이나 잔액 감소만으로 공격에 따른 피해인지, 자산 보호 조치인지, 다른 처리 과정의 결과인지 단정하기 어렵다. 계정별 실제 영향과 자산 복구 상황, 이용자의 개인키 확보 가능 여부를 각각 확인해야 한다. 로그인 서비스가 복구되더라도 이는 서비스 이용 가능성만 보여줄 뿐, 개인키의 안전성이나 자산 회수를 입증하지는 않는다.