Keplr cho biết một số tài khoản tạo bằng đăng nhập Google hoặc Apple phát sinh giao dịch trái phép, trong khi Web3Auth tạm dừng dịch vụ liên quan để xử lý sự cố bảo mật. Vấn đề không chỉ là người dùng có thể đăng nhập hay không, mà còn là khóa riêng có bị lộ và tài sản sẽ được xử lý thế nào. Nhập khóa riêng hiện có vào ví khác chỉ đổi cách truy cập tài khoản, không chứng minh khóa vẫn chỉ do người dùng nắm giữ.
Web3Auth tạm dừng dịch vụ, chưa xác nhận thời điểm hoạt động lại
Ngày 7/11, Keplr cho biết một số tài khoản đăng nhập bằng Google hoặc Apple ghi nhận giao dịch trái phép và tạm ngưng hai phương thức đăng nhập này. Cùng ngày, Web3Auth cho biết phát hiện vấn đề bảo mật trong hạ tầng, ảnh hưởng đến một số ví nhúng mà Keplr sử dụng.
Thông báo trạng thái dịch vụ của Web3Auth ghi nhận thời gian bảo trì bắt đầu từ 18:30 ngày 6/11 (UTC) và cho biết việc này liên quan đến sự cố bảo mật. Đến 13:08 ngày 8/11 (UTC), trang trạng thái vẫn nói sẽ cập nhật sau khi dịch vụ được khôi phục. Dù khung thời gian bảo trì ghi trên trang đã kết thúc ngày 7/11, Web3Auth chưa xác nhận dịch vụ hoạt động trở lại.
Thông báo của MetaMask Builder ngày 7/11 cho biết điều tra ban đầu chưa phát hiện người dùng MetaMask bị ảnh hưởng. Thông tin này chỉ đề cập đến người dùng MetaMask, không xác định phạm vi tài khoản Keplr bị tác động hay tình trạng xử lý tài sản của họ.
Nhập khóa riêng đổi cách truy cập, không xóa rủi ro bị lộ
Trong hướng dẫn bảo mật cập nhật tháng 9/2025, Keplr cho biết tài khoản đăng nhập bằng Google sử dụng khóa riêng dạng hệ thập lục phân do Web3Auth tạo ra, thay vì cụm từ khôi phục; khóa được mã hóa và lưu trên thiết bị người dùng. Tài liệu cũng nêu tùy chọn xem khóa riêng, nhưng có thể không áp dụng với một số tài khoản cũ. Hướng dẫn trên ứng dụng di động phân biệt đăng nhập Google với việc nhập tài khoản bằng cụm từ khôi phục hoặc khóa riêng, đồng thời khuyến nghị người dùng bảo quản khóa cẩn thận.
Các hướng dẫn thông thường cho thấy khóa riêng có thể được dùng làm phương thức truy cập độc lập với đăng nhập Google. Tuy nhiên, việc có tùy chọn xem hoặc xuất khóa không chứng minh rằng mọi người dùng bị ảnh hưởng đều có thể lấy khóa trong thời gian dịch vụ bị tạm dừng. Tài liệu hiện có cũng không xác nhận quy trình đăng nhập thay thế có hoạt động trong sự cố lần này hay không.
Quan trọng hơn, trong cập nhật tiếp theo ngày 7/11, Keplr cho biết khóa riêng của một số người dùng đăng nhập xã hội đã bị lộ và công ty đang phối hợp với Web3Auth để bảo vệ tài sản. Keplr nói các tài khoản tạo bằng cụm từ khôi phục hoặc ví phần cứng không bị ảnh hưởng, trong khi tài khoản đăng nhập bằng Google hoặc Apple có thể gặp rủi ro. Người dùng có khả năng bị ảnh hưởng được khuyến nghị không chuyển thêm tiền vào tài khoản liên quan và chuyển số tài sản còn có thể sử dụng sang tài khoản dùng cụm từ khôi phục hoặc ví phần cứng.
Nhập cùng một khóa riêng vào ví khác chỉ thay đổi phần mềm dùng để truy cập tài khoản; bí mật cho phép ký giao dịch vẫn giữ nguyên. Nếu khóa đã bị lộ, chuyển sang giao diện khác không chứng minh rằng người khác không thể sử dụng khóa đó. Vì vậy, hướng dẫn nhập khóa riêng thông thường không thay thế khuyến nghị xử lý sự cố của Keplr, cũng không phải giải pháp có thể áp dụng cho mọi tài khoản bị ảnh hưởng.
Biến động số dư cần được đối chiếu với hoạt động khôi phục
Web3Auth cho biết công ty và các đối tác đã triển khai hoạt động khôi phục theo hình thức white-hat, sử dụng đường đi của kẻ tấn công trước đó để xử lý các ví Keplr dễ bị tổn thương nhưng chưa bị ảnh hưởng. Keplr đồng thời nói số dư giảm hoặc về 0 ở một số tài khoản có thể liên quan đến các biện pháp giảm thiểu thiệt hại; tài sản đang staking hoặc bị khóa khiến việc xử lý phức tạp hơn.
Do đó, chỉ dựa vào giao dịch lạ hoặc số dư sụt giảm thì chưa thể kết luận nguyên nhân là tấn công, hoạt động bảo vệ tài sản hay một biện pháp xử lý khác. Cần xác minh riêng mức độ ảnh hưởng của từng tài khoản, tiến độ khôi phục tài sản và khả năng người dùng lấy được khóa riêng. Ngay cả khi dịch vụ đăng nhập hoạt động lại, điều đó chỉ xác nhận khả năng truy cập dịch vụ, không tự chứng minh khóa riêng an toàn hay tài sản đã được thu hồi.