- Cuentas de la billetera Keplr vinculadas a inicio de sesión con Google y Apple sufrieron sustracciones de saldo.
- La falla crítica en la infraestructura de Web3Auth permitió derivar llaves privadas sin autorización previa.
- Equipos técnicos ejecutaron una evacuación de emergencia que trasladó más de 6,01 millones de dólares a billeteras seguras.
- Los monederos generados con frases de recuperación de 12 o 24 palabras o dispositivos físicos permanecieron indemnes.
Usuarios de la billetera digital Keplr registraron sustracciones indebidas de activos digitales luego de que atacantes aprovecharon una vulnerabilidad en Web3Auth, el servicio intermediario encargado de gestionar la autenticación social mediante cuentas de Google y Apple. El incidente obligó a los operadores del servicio a desplegar una maniobra de rescate masivo para vaciar preventivamente decenas de miles de monederos antes de que fueran drenados por terceros.
De acuerdo con los reportes oficiales emitidos por los desarrolladores de Keplr Wallet, la falla de diseño afectó de manera exclusiva a quienes configuraron sus billeteras mediante credenciales de redes sociales. En contraste, aquellos usuarios que crearon sus cuentas bajo el modelo clásico de frase semilla de 12 o 24 palabras o que operan con monederos de hardware en frío mantuvieron sus activos completamente protegidos fuera del alcance de los atacantes.
Operación de rescate ante la vulnerabilidad en Web3Auth
Al percatarse del vector de intrusión, el equipo de ingeniería de Web3Auth utilizó el mismo mecanismo técnico descubierto en la auditoría interna para transferir con urgencia los fondos expuestos hacia direcciones de custodia segura controladas por la empresa. Firmas especializadas en análisis de cadenas de bloques rastrearon el movimiento preventivo de al menos 6,01 millones de dólares procedentes de más de 44.000 billeteras digitales vulnerables.
El primer paquete de transferencias defensivas se activó 21 minutos antes de la primera alerta pública emitida por los proveedores del sistema. Aproximadamente el 86% de las cuentas intervenidas fueron evacuadas después de que los desarrolladores publicaron advertencias recomendando a los titulares revocar permisos de firma social y no interactuar con contratos inteligentes no verificados.
Este suceso subraya la importancia de los mecanismos de privacidad en las herramientas de uso diario, de manera análoga a las precauciones que se están tomando en mensajería privada, como se evidencia en la medida en que WhatsApp ocultará el número telefónico para resguardar la identidad y evitar abusos de ingeniería social en plataformas compartidas.
Alcance en el ecosistema descentralizado y compromisos de restitución
La empresa matriz Consensys, desarrolladora del popular software MetaMask que adquirió Web3Auth en junio de 2025 con el fin de simplificar el proceso de registro social para nuevos participantes, declaró que sus indagaciones preliminares no arrojaron evidencia de impacto directo sobre usuarios de MetaMask. No obstante, el servicio de billeteras incrustadas para desarrolladores fue suspendido de forma temporal mientras se audita el código fuente.
La administración de Keplr informó que los fondos retirados se encuentran resguardados bajo llaves multifirma y que se diseñó un protocolo estructurado para devolver las criptomonedas a sus legítimos propietarios. Sin embargo, advirtieron que los tokens sujetos a bloqueos por participación (staking) o depósitos en contratos de liquidez demandan un procedimiento de desconexión técnica más prolongado.
Especialistas en seguridad de activos virtuales reiteraron que la conveniencia de los inicios de sesión sociales en entornos descentralizados implica delegar parte de la custodia criptográfica en servidores centralizados. Para operaciones con patrimonios elevados, la comunidad técnica recomienda adoptar de manera prioritaria esquemas de custodia propia no custodial con claves físicas que impidan accesos no autorizados a través de la web.
Adicionalmente, los analistas sugieren que las plataformas DeFi y billeteras multicadena refuercen los mecanismos de validación multifactorial independiente, evitando depender de un único proveedor de autenticación en la nube. La integración de auditorías periódicas de contratos inteligentes y el monitoreo en tiempo real de transacciones sospechosas constituyen barreras fundamentales para mitigar brechas sistémicas en servicios que manejan fondos descentralizados a escala global.
