Web3Auth侵害、4万4,000超のKeplrウォレットから600万ドル流出

土曜日の侵害でCosmos系8ネットワークが被害

11月7日の土曜日に発覚したWeb3Authの侵害から24時間以上が経過した現在も、対応作業は続いている。Web3AuthはConsensysが保有するウォレット認証基盤で、同社は被害を受けたユーザーの資産回収に取り組んでいる。初報以降、調査とプロトコルの緊急パッチが中断なく行われてきた。同社の確認によれば、攻撃者が到達したのはKeplr内の埋め込み型ウォレットで、とりわけGoogleまたはAppleのログインで開設された口座だった。埋め込みウォレットは、慣れ親しんだウェブログインの裏側でアプリケーションがウォレットを立ち上げる仕組みだ。利用の敷居は下がる一方で、秘密鍵の管理がユーザーではなく基盤提供者側に集中する。今回の被害を一つの基盤不具合から大規模な鍵漏えい事件に拡大させたのは、まさにこの設計だった。オンチェーンデータでは、4万4,000超のウォレットから最低600万ドルが流出したことが確認されており、追跡が続くため件数はまだ動く可能性がある。被害口座はすべてCosmosエコシステムの8ネットワーク上にあり、Cosmos Hub、Osmosis、Celestia、Injectiveが含まれる。Keplrは、侵害されたウォレットアドレスへの新規入金を控えるようユーザーに警告した。露出した口座に送金された資産は流出経路に置かれたままになる。Web3Auth側は埋め込みウォレットサービスを丸ごと停止し、被害資産の回復作業を進めている。個別口座の修正ではなくサービス全体をオフラインにしたことは、提供者がまだ被害範囲を特定しきれていないことを示唆する。鍵がどう抽出されたのか、各ログイン提供者ごとの口座数、他のログイン方式への影響の有無は、いずれも未公表のままだ。11月7日の侵害とその後の緊急対応は、もろさを抱えた仮想通貨市場にさらなる圧力をかけかねない。

Trust WalletとMetaMaskは影響なしと回答

Cosmosの枠を超えて侵害が広がったか否かは、他のウォレット提供者が最初に答えるべき問いだった。初期の回答は大手に有利な内容だった。MetaMaskは被害を受けたユーザーの証拠は見つかっていないとし、状況はまだ管理下にあると述べた。Trust Walletの担当者Felixは、X上の公開投稿で、同社製品はWeb3Auth侵害の影響を受けていないと確認した。停止された埋め込みウォレットサービスに依存していた他のサードパーティー統合への影響はまだ確定しておらず、この点は各アプリケーションに開かれた問いとして残る。ウォレット利用者にとって、今回の確認は相次ぐ別個のセキュリティ情報と同時期に届いた。GoPlus Securityが警告したiOSウォレットでの56万1,000ドルの盗難、ユーザー対応は不要だと同社が述べた重大なPHP脆弱性、そしてCZによる3つの主要ウォレットを支援する偽Trust Walletサイトへの警告などだ。こうした警告の後に取るべき行動が分からないユーザーは、侵害された仮想通貨ウォレットの復元手順を確認できる。今回の事故は、損失が記録的な年にも重なった。10月29日の木曜日には、Binanceが約63億ドル規模の侵害を被ったと伝えられている。この数値は報道ベースの推計で確定した会計ではないが、Web3Authの損失を桁違いに上回る。9月のBitgetの不正流用は3億8,750万ドルと推計された。2026年の前半にはKelpDAOが、クロスチェーン基盤を狙った攻撃で約2億9,000万ドルを失っている。この種の事故はDeFiプロトコル、ウォレット基盤、スマートコントラクトのいずれにも及び、センチメント、投資家の損失、業界全体の安全実績に波及する。埋め込みウォレット技術上に構築されたプロジェクトとCosmos関連資産は直接的な打撃を受け、セキュリティ事故の反復は市場での立ち位置をさらに損ないかねない。現時点で、Web3Authの攻撃とビットコインやイーサリアムを含む市場全体の下落の間に実証された関連はない。

オンチェーンの追跡が根本原因を裏付け

この事件が噂ではなく検証可能な事実として扱えるのは、オンチェーンの記録があるからだ。4万4,000超のアドレスにわたる600万ドルの流出は、公開のエクスプローラー上で追跡できる。根本原因はWeb3Auth自身が確認したとおり、認証提供者の基盤側にあり、Keplr本体の署名処理にはない。被害の経路はソーシャルログイン経由の口座発行に集中しており、ユーザー自身がシードフレーズを保持する自己管理型ウォレットは対象外だった。一方で、正式な事後検証レポートはまだ出ていない。同社は基盤の問題を認め、サービスを停止し、回復を開始したが、鍵がどう漏えたのか、再発を防ぐためにどの工学的変更を行うのかについては説明していない。TWTホルダーにとっては、Trust Walletの無影響確認により、この事件の直接的な被害範囲の外にトークンが置かれた。残るリスクは、確認が済んでいないサードパーティー統合の側にある。