Utilizadores da Keplr que iniciaram sessão através do Google ou da Apple relataram transações não autorizadas. A Web3Auth suspendeu os serviços relacionados enquanto investiga um incidente de segurança. Além do acesso às contas, está em causa a possível exposição de chaves privadas e o destino dos ativos afetados. Importar uma chave para outra carteira altera a forma de aceder à conta, mas não prova que a chave continue privada.
Web3Auth suspende serviços sem confirmar a retoma
A 7 de novembro, a Keplr informou que algumas contas criadas com acesso pelo Google ou pela Apple tinham registado transações não autorizadas e suspendeu ambas as opções de início de sessão. Nesse mesmo dia, a Web3Auth comunicou ter identificado um problema de segurança na sua infraestrutura que afetou algumas carteiras integradas utilizadas pela Keplr.
O aviso de estado da Web3Auth associou a manutenção, iniciada a 6 de novembro às 18h30 UTC, ao incidente de segurança. A 8 de novembro, às 13h08 UTC, a página indicava que seria publicada uma atualização quando o serviço fosse restabelecido. Embora o período de manutenção indicado terminasse a 7 de novembro, o aviso não confirmava que os serviços já tivessem sido retomados.
Num comunicado de 7 de novembro, a MetaMask Builder afirmou que a investigação inicial não tinha encontrado impacto nos utilizadores da MetaMask. Essa declaração diz respeito à MetaMask e não esclarece quantas contas Keplr foram afetadas nem qual é a situação dos respetivos ativos.
Importar a chave não elimina o risco de exposição
As orientações de segurança da Keplr, atualizadas em setembro de 2025, indicam que as contas com acesso pelo Google utilizam uma chave privada hexadecimal gerada pela Web3Auth, em vez de uma frase de recuperação. A chave é encriptada e armazenada no dispositivo do utilizador. A documentação da Keplr descreve também uma opção para visualizar a chave, que poderá não estar disponível em algumas contas mais antigas. O guia para dispositivos móveis aborda separadamente o acesso pelo Google e a importação de contas através de uma frase de recuperação ou de uma chave privada, recomendando que os utilizadores mantenham as chaves em segurança.
Estas instruções indicam que a chave privada pode ser uma forma de acesso distinta do início de sessão pelo Google. No entanto, a existência de uma opção para visualizar ou exportar a chave não demonstra que todos os utilizadores afetados tenham conseguido obtê-la durante a suspensão dos serviços. A documentação também não confirma que um método alternativo de acesso tenha funcionado durante o incidente.
Numa atualização publicada a 7 de novembro, a Keplr afirmou que as chaves privadas de alguns utilizadores com acesso por redes sociais tinham sido comprometidas e que estava a trabalhar com a Web3Auth para proteger os ativos. A empresa indicou que as contas criadas com uma frase de recuperação ou uma carteira de hardware não foram afetadas, enquanto as ligadas ao Google ou à Apple poderão ter sido. Recomendou aos utilizadores potencialmente afetados que não enviassem mais fundos para essas contas e transferissem os ativos ainda movimentáveis para uma conta protegida por uma frase de recuperação ou uma carteira de hardware.
Importar a mesma chave privada para outra carteira muda o software usado para aceder à conta, mas não altera o segredo que autoriza as transações. Se a chave tiver sido exposta, mudar de interface não impede, por si só, que terceiros continuem a utilizá-la. As instruções gerais para importar uma chave não substituem, portanto, as orientações específicas da Keplr para o incidente nem constituem uma solução confirmada para todas as contas afetadas.
Variações de saldo devem ser avaliadas no contexto da recuperação
A Web3Auth afirmou que, com os seus parceiros, iniciou uma operação de recuperação conduzida por especialistas em segurança, dirigida a carteiras Keplr vulneráveis ainda não afetadas e utilizando o método original do atacante. A Keplr informou que, devido às medidas de mitigação, alguns saldos poderão ter diminuído ou chegado a zero. A presença de ativos em staking ou bloqueados também tornou a resposta mais complexa.
Uma transferência desconhecida ou a redução de um saldo, por si só, não permite determinar se a alteração resultou de um ataque, de uma medida de proteção ou de outra ação de resposta. O impacto em cada conta, o progresso na recuperação dos ativos e a possibilidade de os utilizadores obterem as respetivas chaves privadas têm de ser avaliados separadamente. Mesmo que os serviços de acesso sejam retomados, isso confirmará a disponibilidade, mas não provará, por si só, que as chaves estão seguras ou que os ativos foram recuperados.