Web3Auth אומרת שהעבירה 5.6 מיליון דולר מארנקי Keplr לפני ההאקרים, אבל מפתח שאולי דלף נשאר בעיה

חברת התשתית Web3Auth מסרה שהיא העבירה כ־5.6 מיליון דולר מארנקי Keplr שהיו חשופים לפריצה, לפני שההאקרים הגיעו אליהם. לפי דיווח ב־The Block מ־8 בנובמבר, ההודעות של החברה הזכירו גם "תוקף מקורי", ניסוח שמרמז שחלק מהכספים כבר נגנבו. Web3Auth לא פירטה מעבר לכך, והיקף הגניבה לא פורסם.

האירוע נוגע למשתמשי Keplr, ארנק נפוץ באקוסיסטם של Cosmos, שפתחו חשבון באמצעות התחברות עם גוגל או אפל. לפי התיעוד של Keplr, חשבון שנפתח עם גוגל לא מקבל מילות שחזור. את המפתח הפרטי מייצרת Web3Auth. החברה הודיעה שזיהתה בעיית אבטחה בתשתית שלה שפוגעת בארנקים משובצים מסוימים של Keplr, ו־Keplr תיארה פריצה למפתחות פרטיים של חלק ממשתמשי ההתחברות החברתית.

הצלה בנתיב של התוקף

לפי Web3Auth, היא ושותפיה התחילו בפעולות החזרה של "כובעים לבנים" (האקרים אתיים) מול ארנקי Keplr פגיעים שעוד לא נפגעו, והשתמשו לשם כך באותו נתיב שבו פעל התוקף המקורי. בפועל מדובר במרוץ על אותם ארנקים, ומי שמגיע ראשון מעביר את המטבעות.

למשתמשים זה יוצר בלבול. Keplr כתבה שיתרות שירדו או התרוקנו יכולות לשקף פעולות מיטיגציה (צמצום נזק), ושנכסים שנמצאים בסטייקינג או נעולים מסבכים את העבודה. מי שפותח את הארנק ורואה העברה שלא ביצע או יתרה שהצטמקה לא יכול לדעת מהנתון הזה לבדו אם הכסף אצל הגנב או אצל המצילים.

מ־6 עד 8 בנובמבר: ציר האירועים

• 6 בנובמבר, 18:30 UTC: הודעת שירות ההתחברות של Web3Auth מתארכת לשעה הזו את תחילת "התחזוקה" ומייחסת אותה לאירוע אבטחה.
• 7 בנובמבר: Keplr מדווחת על עסקאות לא מורשות בחלק מהחשבונות שנפתחו עם גוגל או אפל, ומשהה את שתי שיטות ההתחברות.
• 7 בנובמבר, בהמשך היום: Web3Auth מודיעה על בעיית האבטחה בתשתית שלה. Keplr מעדכנת שמדובר בפריצה למפתחות פרטיים של חלק ממשתמשי ההתחברות החברתית. באותו יום MetaMask מודיעה למפתחים שבדיקה ראשונית לא מצאה ראיות לפגיעה במשתמשים שלה.
• 8 בנובמבר, 13:08 UTC: דף הסטטוס של Web3Auth עדיין מבטיח עדכון כשהשירות יחזור. חלון התחזוקה המוצג הסתיים ב־7 בנובמבר, אבל חזרה לפעילות לא אושרה.
• 8 בנובמבר: The Block מדווח על 5.6 מיליון הדולר שלפי Web3Auth הועברו מהארנקים החשופים.

למה ארנק שחזר לעבוד עדיין לא בטוח

לפי תיעוד האבטחה של Keplr, שעודכן בספטמבר 2025, חשבון שנפתח עם גוגל מקבל מפתח פרטי הקסדצימלי (מחרוזת של ספרות ואותיות) שנוצר דרך Web3Auth, מוצפן ונשמר מקומית על המכשיר. בתפריט קיימת אפשרות View Private Key לצפייה במפתח, למעט חשבונות ותיקים שנפתחו ב־2020 לפני שהתכונה נוספה. מדריך הייבוא של האפליקציה בנייד מאפשר לטעון מפתח פרטי או מילות שחזור בנפרד מההתחברות עם גוגל.

מי ששמר את המפתח מראש מחזיק אפוא נתיב גישה מתועד שלא עובר דרך ההתחברות של Web3Auth. CryptoSlate מדגישה שהתיעוד לא מוכיח שכל משתמש נעול יכול להגיע לאפשרות הייצוא בזמן ההשהיה, ושהנתיב הזה לא נבדק כפתרון לאירוע הנוכחי. ובעיית הסודיות נשארת בעינה. המפתח הוא הסוד שמאשר כל עסקה, וטעינה שלו לאפליקציה אחרת מחליפה רק את התוכנה שדרכה ניגשים לחשבון. אם התוקף מחזיק עותק, כל מטבע שיגיע לכתובת הזו חשוף באותה מידה, בין אם תשתמשו ב־Keplr ובין אם בארנק אחר. לפי CryptoSlate, חידוש שירות ההתחברות יענה על שאלת הזמינות, אבל לא יכריע לבדו אם המפתח דלף ומה יעלה בגורל הנכסים.

מכאן ההנחיה של Keplr לעבור לחשבון אחר. החברה המליצה לא לשלוח כספים חדשים לחשבונות שאולי נפגעו, ולהעביר את הנכסים הנזילים שנותרו לחשבון שנפתח עם מילות שחזור או עם ארנק חומרה. לגבי חשבונות שאולי נפגעו, CryptoSlate מציינת שההנחיות של Keplr לאירוע גוברות על הוראות הייבוא השגרתיות.

משתמשי Keplr בישראל שנכנסו עם גוגל או אפל: צעדים מעשיים

הצעד הראשון הוא לבדוק איך נפתח החשבון שלכם. אם ההתחברות נעשתה דרך גוגל או אפל, פתחו חשבון חדש עם מילות שחזור או חברו ארנק קר, והעבירו אליו את מה שנזיל. ייבוא המפתח הישן לאפליקציה אחרת אולי יחזיר לכם גישה, אבל לא יפתור את החשש שהמפתח נמצא גם אצל התוקף.

• רשמו את מילות השחזור החדשות על נייר או על לוח מתכת, מחוץ לכל שירות ענן. המדריך שלנו לשמירת ביטקוין ומילות שחזור מפרט את האפשרויות, והעקרונות זהים גם למטבעות ברשתות Cosmos.
• עדכנו כל כתובת שמורה בבורסה או בשירות אחר שמפנה לחשבון הישן, כדי שמשיכה אוטומטית לא תנחת בכתובת חשופה.
• שמרו צילומי מסך של היתרות, מזהי עסקאות וההודעות של Keplr ו־Web3Auth. בנקים בישראל נוהגים לשאול על מקור הכספים כשמגיעות העברות מבורסות זרות, ועד 1 במאי 2027 עדיין חלה חובת בדיקת המקור ונתיב המטבעות מעל 100 אלף ש״ח בשנה (פירוט השינוי בהוראה 411). אם נכסים שהועברו במסגרת ההצלה יוחזרו אליכם בהמשך, המסלול שלהם יהיה לא שגרתי, ותיעוד מסודר יחסוך לכם הסברים.
• התעלמו מהודעות שמבקשות להזין מפתח או מילות שחזור באתר כלשהו בשם "שחזור". שירות לגיטימי לא מבקש מכם למסור את הסוד הזה.

האירוע חושף גם את מבנה התלות בארנקים בלי מילות שחזור. בתיעוד ה־SDK של MetaMask לפלאטר, ייצוא המפתח מתואר כפעולה שמתבצעת אחרי התחברות, ושלב האתחול בודק סשנים, מושך הגדרות פרויקט משרת ועלול להיכשל אם הקריאה נופלת. CryptoSlate מציעה מבחן לארנקים כאלה: האם יש למשתמש דרך גישה עצמאית ושמישה לפני שהספק הופך ללא זמין. במקרה של Keplr, גם מי שעובר את המבחן הזה עדיין צריך לברר אם המפתח שלו נחשף, ולכן ההמלצה של החברה היא להעביר את הנכסים ולא רק לשחזר גישה.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.