Keplr ระบุว่าบัญชีบางส่วนที่สร้างผ่าน Google หรือ Apple พบธุรกรรมที่เจ้าของไม่ได้อนุญาต ขณะที่ Web3Auth ผู้ให้บริการระบบล็อกอิน ระงับบริการที่เกี่ยวข้องหลังพบปัญหาด้านความปลอดภัย เหตุการณ์นี้กระทบทั้งการเข้าถึงบัญชีและความเสี่ยงที่คีย์ส่วนตัวอาจรั่วไหล การนำคีย์เดิมไปใช้กับวอลเล็ตอื่นเปลี่ยนได้เพียงช่องทางเข้าถึง แต่ไม่ได้ยืนยันว่าคีย์ยังอยู่ในการควบคุมของเจ้าของเพียงผู้เดียว
Web3Auth ระงับบริการ แต่ยังไม่ยืนยันกำหนดกลับมาใช้งาน
เมื่อวันที่ 7 พฤศจิกายน Keplr แจ้งว่าบัญชีบางส่วนที่ล็อกอินผ่าน Google หรือ Apple เกิดธุรกรรมที่ไม่ได้รับอนุญาต พร้อมระงับการเข้าสู่ระบบด้วยสองช่องทางดังกล่าว ในวันเดียวกัน Web3Auth ระบุว่าพบปัญหาด้านความปลอดภัยในโครงสร้างพื้นฐาน ซึ่งกระทบวอลเล็ตแบบฝังบางส่วนที่ Keplr ใช้งาน
ประกาศสถานะบริการของ Web3Auth ระบุว่าการบำรุงรักษาเริ่มตั้งแต่วันที่ 6 พฤศจิกายน เวลา 18:30 น. UTC และเกี่ยวข้องกับเหตุการณ์ด้านความปลอดภัย แม้ช่วงเวลาบำรุงรักษาที่แสดงบนหน้าเว็บจะสิ้นสุดลงในวันที่ 7 พฤศจิกายน แต่ ณ วันที่ 8 พฤศจิกายน เวลา 13:08 น. UTC หน้าสถานะยังระบุว่าจะประกาศความคืบหน้าเมื่อบริการกลับมา โดยยังไม่มีการยืนยันว่าระบบเปิดใช้งานแล้ว
ประกาศจาก MetaMask Builder เมื่อวันที่ 7 พฤศจิกายนระบุว่า การตรวจสอบเบื้องต้นไม่พบว่าผู้ใช้ MetaMask ได้รับผลกระทบ ข้อความดังกล่าวครอบคลุมเฉพาะผู้ใช้ MetaMask และไม่ได้ชี้แจงขอบเขตของบัญชี Keplr ที่ได้รับผลกระทบหรือสถานะการจัดการสินทรัพย์
นำเข้าคีย์ส่วนตัวได้ แต่ไม่ลบความเสี่ยงจากการรั่วไหล
เอกสารความปลอดภัยของ Keplr ที่ปรับปรุงเมื่อเดือนกันยายน 2025 ระบุว่า บัญชีที่ล็อกอินผ่าน Google ใช้คีย์ส่วนตัวรูปแบบเลขฐานสิบหกซึ่งสร้างโดย Web3Auth แทนวลีช่วยจำ (seed phrase) โดยคีย์จะถูกเข้ารหัสและเก็บไว้ในอุปกรณ์ของผู้ใช้ เอกสารยังระบุวิธีดูคีย์ส่วนตัว แต่ตัวเลือกนี้อาจใช้ไม่ได้กับบัญชีรุ่นเก่าบางบัญชี ส่วนคู่มือบนมือถือของ Keplr แยกขั้นตอนล็อกอินผ่าน Google ออกจากการนำเข้าบัญชีด้วยวลีช่วยจำหรือคีย์ส่วนตัว พร้อมเตือนให้เก็บคีย์ไว้อย่างปลอดภัย
ข้อมูลดังกล่าวแสดงให้เห็นว่า ตามการออกแบบ คีย์ส่วนตัวสามารถใช้เข้าถึงบัญชีโดยไม่ต้องพึ่งการล็อกอินผ่าน Google อย่างไรก็ตาม การมีตัวเลือกดูหรือส่งออกคีย์ตามปกติ ไม่ได้ยืนยันว่าผู้ใช้ที่ได้รับผลกระทบทุกรายจะดึงคีย์ออกมาได้ในช่วงที่บริการหยุดชะงัก และเอกสารที่เผยแพร่ก็ไม่ได้ยืนยันว่าช่องทางล็อกอินสำรองใช้ได้ระหว่างเหตุการณ์นี้
ประเด็นสำคัญคือ ในการอัปเดตเพิ่มเติมเมื่อวันที่ 7 พฤศจิกายน Keplr ระบุว่าคีย์ส่วนตัวของผู้ใช้โซเชียลล็อกอินบางรายรั่วไหล และกำลังช่วย Web3Auth ปกป้องสินทรัพย์ บริษัทระบุว่าบัญชีที่สร้างด้วยวลีช่วยจำหรือฮาร์ดแวร์วอลเล็ตไม่ได้รับผลกระทบ ขณะที่บัญชีที่ล็อกอินผ่าน Google หรือ Apple อาจได้รับผลกระทบ Keplr แนะนำผู้ใช้ที่อาจอยู่ในกลุ่มเสี่ยงอย่าโอนเงินใหม่เข้าบัญชีดังกล่าว และให้ย้ายสินทรัพย์ที่ยังโอนได้ไปยังบัญชีที่ใช้วลีช่วยจำหรือฮาร์ดแวร์วอลเล็ต
การนำคีย์ส่วนตัวเดียวกันไปใส่ในวอลเล็ตอื่นเปลี่ยนเพียงซอฟต์แวร์ที่ใช้เข้าถึงบัญชี ไม่ได้เปลี่ยนข้อมูลลับที่ใช้อนุมัติธุรกรรม หากคีย์รั่วไหลแล้ว การเปลี่ยนหน้าจอหรือแอปที่ใช้เข้าบัญชีไม่อาจยืนยันได้ว่าบุคคลอื่นจะนำคีย์นั้นไปใช้ไม่ได้ ดังนั้น คำแนะนำทั่วไปเรื่องการนำเข้าคีย์จึงไม่ใช่สิ่งทดแทนแนวทางรับมือเหตุการณ์ที่ Keplr แจ้งไว้ และไม่ควรถือเป็นวิธีแก้ที่ใช้ได้กับบัญชีที่ได้รับผลกระทบทุกบัญชี
การเปลี่ยนแปลงยอดเงินต้องตรวจสอบควบคู่กับมาตรการกู้คืน
Web3Auth ระบุว่าบริษัทและพันธมิตรเริ่มปฏิบัติการกู้คืนโดยทีม white hat เพื่อปกป้องวอลเล็ต Keplr ที่ยังเปราะบางแต่ยังไม่ถูกโจมตี โดยใช้เส้นทางเดียวกับผู้โจมตี ขณะเดียวกัน Keplr แจ้งว่ายอดเงินในบางบัญชีที่ลดลงหรือเหลือศูนย์อาจเกี่ยวข้องกับมาตรการบรรเทาความเสียหาย นอกจากนี้ สินทรัพย์ที่นำไป staking หรือถูกล็อกไว้ยังทำให้การจัดการซับซ้อนขึ้น
ดังนั้น การพบธุรกรรมที่ไม่คุ้นเคยหรือยอดเงินลดลงเพียงอย่างเดียวยังไม่พอจะสรุปว่าเกิดจากการโจมตี การดำเนินการปกป้องสินทรัพย์ หรือการจัดการรูปแบบอื่น ผู้ใช้ยังต้องตรวจสอบผลกระทบต่อบัญชีแต่ละราย ความคืบหน้าในการกู้คืนสินทรัพย์ และความสามารถในการเข้าถึงคีย์ส่วนตัวแยกจากกัน แม้ระบบล็อกอินกลับมาใช้งานได้ ก็ยืนยันได้เพียงว่าบริการกลับมาเปิด ไม่ได้พิสูจน์ว่าคีย์ปลอดภัยหรือสินทรัพย์ได้รับคืนแล้ว