La vulnerabilidad afectó a cuentas creadas con acceso Google o Apple. Web3Auth y Keplr trasladaron activos recuperables a direcciones de custodia, pero el monto sustraído por el atacante no ha sido comunicado oficialmente.
Un fallo en la infraestructura de Web3Auth expuso las claves privadas de algunos wallets Keplr creados mediante acceso Google o Apple. Entre el 6 y el 8 de noviembre de 2026, mientras varios usuarios reportaban transacciones no autorizadas, Web3Auth declaró haber iniciado transferencias de protección hacia direcciones controladas para su recuperación. La empresa indicó que trabaja con Keplr para devolver los fondos a los afectados.
El incidente involucra al servicio de acceso integrado, no a una vulnerabilidad en el código del propio wallet Keplr ni en las blockchains utilizadas. Según el cofundador de Keplr, citado por The Block, aproximadamente el 20% de las cuentas Keplr creadas con Google o Apple podría haber sido afectado. La compañía precisó que los wallets creados con frase de recuperación o hardware wallet no están comprometidos.
¿Qué se transfirió y dónde están los fondos?
Web3Auth publicó una lista de 12 direcciones que identifica como destinos de recuperación. Según lo reportado por The Block el 8 de noviembre, estas direcciones almacenaban en ese momento alrededor de 5,6 millones de dólares en criptomonedas. Esta cifra refleja los saldos observados on-chain y no constituye una estimación de las pérdidas causadas por el ataque.
Un análisis separado de Bitquery había atribuido inicialmente a dos direcciones aproximadamente 6,01 millones de dólares transferidos desde decenas de miles de wallets. Posteriormente, la misma empresa detectó que ambas direcciones figuraban en la lista publicada por Web3Auth como destinos de recuperación. Bitquery advierte que no puede verificar quién controla esas direcciones y que su conteo no incluye los wallets posiblemente vaciados por el atacante hacia otros destinos.
Las dos cifras no son directamente comparables: The Block registró cerca de 5,6 millones en las doce direcciones de recuperación en el momento de su verificación, mientras que Bitquery reconstruyó alrededor de 6,01 millones en una fase y con un alcance de transacciones distinto. Parte de los movimientos interpretados inicialmente como robos estaba vinculada a las operaciones de recuperación iniciadas por Web3Auth.
Sigue sin conocerse cuánto logró sustraer el atacante antes de que se tomaran contramedidas. Web3Auth mencionó a un “atacante original” en las comunicaciones recogidas por la prensa, pero no publicó un total de pérdidas ni identificó públicamente las direcciones atribuidas a esa persona o grupo.
El rol de Web3Auth en el acceso a Keplr
Concretamente, keplr permite crear wallets mediante frase de recuperación y, para algunas cuentas, a través del acceso social con Google o Apple. En este segundo caso, la gestión del acceso y la generación de la clave involucran a Web3Auth, proveedor de infraestructura para wallets integrados. La clave privada autoriza las transacciones: si queda expuesta, quien la posea puede firmar operaciones y mover los activos asociados.
Esta distinción resulta relevante porque una blockchain registra las transacciones, pero no explica por sí sola quién las autorizó ni si el traslado fue obra de un atacante o del equipo de recuperación. Bitquery señala que algunas transferencias hacia direcciones luego listadas por Web3Auth se iniciaron antes de la primera comunicación pública de la empresa. La cronología, por sí sola, no permite atribuir cada movimiento a un actor concreto.
Keplr suspendió el acceso con Google y Apple e instó a los usuarios con cuentas sociales a no depositar más fondos. Para entender la diferencia entre wallets de software y dispositivos dedicados, puede consultarse nuestra guía comparativa de hardware wallets. La empresa también diferenció estas cuentas de las creadas con frase de recuperación o hardware wallet, indicadas como no afectadas. La causa técnica de la exposición, el número definitivo de cuentas comprometidas y el procedimiento completo de devolución de fondos no han sido publicados aún.
¿Qué queda por aclarar?
El incidente deja abiertas tres cuestiones operativas. La primera es la causa de la vulnerabilidad en la infraestructura de Web3Auth y el mecanismo por el que las claves quedaron accesibles. La segunda es el balance definitivo de los fondos trasladados por usuarios, posibles atacantes y equipos de respuesta. La tercera atañe a la devolución: Web3Auth declaró trabajar con Keplr en un proceso de recuperación, sin que en los reportes consultados se describiera aún un calendario completo ni un procedimiento individual definitivo.
Las direcciones publicadas como destinos de recuperación son observables on-chain, pero su saldo no equivale a un reembolso completado. Hasta que los activos sean devueltos a los usuarios, permanecen en direcciones separadas y su disponibilidad depende de las modalidades de custodia y transferencia adoptadas por los actores involucrados.
Impacto en Latinoamérica y España
Las comunicaciones disponibles no indican una distribución geográfica de las cuentas afectadas, por lo que no es posible determinar cuántos usuarios hispanohablantes están involucrados. El riesgo depende del método utilizado para crear el wallet: el aviso de Keplr afecta exclusivamente a las cuentas configuradas con acceso Google o Apple, mientras que las cuentas creadas con frase de recuperación o hardware wallet fueron indicadas como excluidas del incidente.
La distinción entre vulnerabilidad de claves y filtración de datos personales también surgió en el reciente incidente que involucró a Keystone. Quienes usen Keplr deben consultar únicamente las actualizaciones publicadas en los canales oficiales de la empresa y seguir las instrucciones específicas para su cuenta. En esta fase es especialmente importante desconfiar de mensajes no solicitados que prometan recuperar fondos o soliciten claves privadas, frases de recuperación o pagos anticipados: ninguna información independiente recabada hasta ahora confirma que un tercero externo pueda acelerar la devolución. El patrón de phishing dirigido tras incidentes de este tipo fue documentado también tras la filtración que afectó a clientes de SafePal y el data breach de Trezor.
Web3Auth y Keplr: resumen del incidente
Lo que está confirmado y lo que queda por verificar
- Confirmado: una vulnerabilidad de Web3Auth expuso algunas claves de wallets Keplr creados con acceso Google o Apple; se iniciaron transferencias hacia direcciones de recuperación.
- No indicado: la causa técnica completa, el número definitivo de cuentas afectadas y la pérdida atribuible al atacante.
- Por seguir: el plan de devolución a los usuarios y el detalle de las transferencias de recuperación.
La lectura de fondo
El episodio pone de relieve una fragilidad de los wallets con acceso social: la experiencia simplificada puede depender de una infraestructura externa que participa en la gestión de las claves. Es un riesgo diferente al de las filtraciones de datos comerciales, como las descritas en nuestra sección dedicada a ataques crypto, pero ambos muestran cuánto importan los servicios que rodean la custodia digital. La comodidad del acceso social no elimina la necesidad de proteger el proceso que permite firmar transacciones. En este caso, sin embargo, todavía no es posible reconstruir públicamente cada paso técnico ni atribuir con certeza todos los movimientos de fondos.
La respuesta de emergencia también complicó la lectura de los datos on-chain: Web3Auth declaró haber utilizado el mismo camino técnico que el atacante para poner a salvo los activos aún presentes en los wallets vulnerables. Por eso, una transferencia anómala no prueba por sí sola un robo. Se necesitan direcciones verificadas, una cronología completa y un balance de los fondos efectivamente devueltos.
