〔品傳媒／綜合外電報導〕跨鏈錢包Keplr針對社群登入帳戶遭未授權轉帳一事發布最新說明，證實起因是第三方登入服務商Web3Auth的基礎設施漏洞，導致部分以Google或Apple帳號登入的Keplr用戶私鑰外洩。根據PANews於台灣時間11月8日上午11時許的報導，Keplr呼籲這類用戶暫停轉入新資金，並盡快把可動用的資產移到以助記詞或硬體錢包建立的帳戶；以助記詞或硬體錢包建立的帳戶則不受影響。事件衝擊的是仰賴「免助記詞」社群登入的使用者，受影響帳戶數與損失金額目前仍未公布。
重點摘要：Keplr證實Web3Auth基礎設施漏洞導致部分Google、Apple社群登入帳戶私鑰外洩，建議用戶把剩餘資產轉到助記詞或硬體錢包帳戶。Web3Auth表示部分帳戶餘額歸零可能來自保護性轉移，正整理經驗證的救援地址清單；受害人數與金額尚未揭露。
Keplr最新說明：社群登入帳戶私鑰外洩
本站先前曾報導Keplr暫停Google、Apple登入並與Web3Auth調查未授權轉帳，當時官方尚未說明原因。根據ChainCatcher與深潮TechFlow轉述Keplr官方X帳號的公告，此次事件已確認是Web3Auth基礎設施出現漏洞，造成部分社群登入用戶的私鑰外洩，而非Keplr錢包本身的問題。
Keplr在公告中提出三項建議：暫停把新資金轉入以Google或Apple登入的帳戶；把仍可轉出的資產移到助記詞或硬體錢包帳戶；只相信Keplr與Web3Auth官方帳號發布的消息，並提防假冒「資產救援」的私訊與連結。Keplr也表示，已質押或鎖倉的資產處理流程較複雜，需要更長時間；雙方正研究讓用戶自行查詢帳戶是否受影響的方式。
| 帳戶建立方式 | 目前狀態 | 官方建議 |
|---|---|---|
| Google／Apple社群登入（Web3Auth） | 部分帳戶私鑰外洩，餘額可能減少或歸零 | 停止轉入新資金，將可動用資產移至助記詞或硬體錢包帳戶 |
| 助記詞建立的帳戶 | 不受影響 | 照常使用，提防假冒救援訊息 |
| 硬體錢包帳戶 | 不受影響 | 照常使用，提防假冒救援訊息 |
資料來源：Keplr官方公告（經ChainCatcher、TechFlow、PANews轉述）
Web3Auth：部分餘額歸零來自保護性轉移
根據The Defiant報導，Web3Auth表示，已沿用原始攻擊者的路徑，把尚未遭竊的脆弱錢包資產先行轉出保護，因此部分用戶看到的餘額減少或歸零，可能是救援行動所致，而非全部遭駭客盜走。Web3Auth強調，追回的資金安全無虞，並提醒用戶「不要假設陌生地址屬於攻擊者」，目前正準備一份經過驗證的救援地址清單，讓用戶與各鏈團隊區分合法的救援轉帳與惡意轉帳。
Keplr的資安說明文件指出，以Google登入建立的帳戶是透過Web3Auth產生私鑰，而非給用戶一組助記詞。這種設計降低了新手入門門檻，但也讓帳戶安全繫於第三方服務的基礎設施。The Defiant指出，Keplr與Web3Auth都尚未公布受影響帳戶數量，也未說明遭竊或被保護轉出的資產規模，Web3Auth表示會在救援作業完成後提供更多細節。
受影響範圍：Cosmos生態鏈上資金流出受關注
根據CryptoTicker整理，Keplr於11月6日暫停Google與Apple登入，Web3Auth同日證實發生資安事件並暫停嵌入式錢包服務。該報導引述Crypto Adventure的消息稱，Keplr開發商Chainapsis共同創辦人Josh Lee估計，約兩成的社群登入帳戶可能曝險，但只有其中一部分實際遭盜用；社群調查人員則追蹤到涉及Injective（INJ）、Osmosis（OSMO）與Cosmos Hub（ATOM）的資金流出。上述數字屬於估計，官方尚未公布受影響鏈的正式清單。
CryptoTicker也指出，Web3Auth自2025年起隸屬以太坊錢包MetaMask的開發商Consensys，Web3Auth初步調查未發現MetaMask用戶受影響。
背景與後續觀察
Keplr是Cosmos生態系最主要的錢包之一，社群登入功能讓用戶不必保管助記詞即可建立帳戶。此次事件發生在加密產業資安事件頻傳之際，近期包括幣安遭北韓駭客攻擊、多家交易所與服務商暫停服務等案例，凸顯第三方基礎設施風險。
後續觀察重點包括：Web3Auth何時公布經驗證的救援地址清單與資金歸還方式、受影響帳戶數與損失金額、質押資產的解除綁定與轉移進度，以及Keplr是否恢復或調整社群登入功能。
常見問題 FAQ
哪些Keplr用戶受到影響？
受影響的是以Google或Apple帳號、透過Web3Auth登入建立的部分Keplr帳戶。Keplr表示，以助記詞或硬體錢包建立的帳戶不受影響。
帳戶餘額歸零就代表資產被盜嗎？
不一定。Web3Auth表示已對尚未遭竊的脆弱錢包進行保護性轉移，部分餘額減少或歸零可能與救援行動有關，並將公布經驗證的救援地址清單供用戶比對。
社群登入用戶現在應該怎麼做？
Keplr建議停止轉入新資金，將可動用的資產移到以助記詞或硬體錢包建立的新帳戶，並只相信官方帳號訊息，忽略自稱能協助「救回資產」的私訊與連結。
參考資料
- PANews：Keplr Wallet Updates on Security Incident: Private Keys Leaked for Some Social Login Accounts, Users Advised to Move Remaining Assets
- The Defiant（經Cryptonews.net）：Keplr Says Recovery Effort May Explain Empty Wallet Balances
- CryptoTicker：Keplr Wallet halts Google and Apple login after Web3Auth flaw drains accounts
- ChainCatcher：Keplr Wallet: Some social login account private keys have been leaked, it is recommended to transfer remaining assets
- TechFlow：Keplr advises social login users to transfer remaining liquid assets
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。
