El fin de semana del 6 de noviembre de 2026 quedará registrado como uno de los capítulos más complejos en la historia reciente de la seguridad criptográfica, porque lo que comenzó como un reporte aislado de transacciones no autorizadas en carteras digitales terminó desencadenando una carrera contrarreloj sin precedentes entre ciberdelincuentes y desarrolladores.
En cuestión de horas, el equipo de Web3Auth y la infraestructura de Keplr se vieron obligados a desplegar un vaciado ético masivo (whitehat sweep) para salvaguardar más de 6 millones de dólares distribuidos en decenas de cadenas de bloques interconectadas.
El incidente no solo puso a prueba los mecanismos de respuesta ante emergencias en el ecosistema Cosmos, sino que encendió las alarmas en toda la industria de la Web3 sobre los riesgos estructurales asociados a la abstracción de cuentas y los métodos simplificados de acceso.
We have received reports of unauthorized transactions on some Keplr accounts created with Google or Apple login. We flagged this to the @Web3Auth team and have been working with them on the investigation since. Based on our initial assessment: if you created your Keplr wallet with a recovery phrase or a hardware wallet, you are NOT affected. If you created your Keplr account with Google or Apple login, your account may be affected. While we investigate: – Do not send new funds to that account. – Do not re-import or recreate it anywhere. – Google/Apple login is paused for now. – Trust updates only from this account. Ignore DMs or links offering “recovery”. We will share verified details and next steps here as soon as we have them.
— Keplr Wallet (@keplrwallet) November 7, 2026
El origen del problema no se ubicó en la lógica interna ni en los contratos inteligentes de la billetera Keplr, sino en la infraestructura de gestión de claves de Web3Auth, el proveedor encargado de facilitar el inicio de sesión social mediante cuentas de Google y Apple.
Una brecha en la capa de derivación de claves de Web3Auth permitió a atacantes externos obtener las claves privadas de los usuarios que utilizaban esta pasarela de acceso para acceder a sus billeteras Keplr.
A diferencia de las arquitecturas tradicionales donde el usuario resguarda de forma directa su frase de recuperación (seed phrase de 12 o 24 palabras) o utiliza una billetera de hardware, el modelo de inicio de sesión social reconstruye la clave del usuario dinámicamente mediante esquemas de computación multiparte (MPC).
What this means for Keplr users If you created your Keplr wallet with a recovery phrase or a hardware wallet, you are NOT affected. In response to Web3Auth’s infrastructure vulnerability leading to private key breach some Keplr users who signed in with Google or Apple, we are assisting the Web3Auth team’s effort to secure and protect assets from affected users. This is ongoing. Staked and locked assets add complexity and take longer. This means some Google/Apple-login accounts may already show a reduced or empty balance as a result of these mitigation efforts. If you created your Keplr account with Google or Apple login, your account may be affected: – Do not send new funds to that account. – Move any remaining liquid assets to a recovery-phrase or hardware-wallet account. We are working with Web3Auth on a way to check whether your account is affected. Only trust updates from this account or @Web3Auth. Ignore DMs or links offering “recovery”.
— Keplr Wallet (@keplrwallet) November 7, 2026
Al ser vulnerada esa infraestructura centralizada de autenticación, el vector de ataque quedó expuesto para que los atacantes pudieran hacer de las suyas. La reacción de la industria fue inmediata pero atípica, ya que apenas 21 minutos después de que se registraran los primeros movimientos sospechosos, Web3Auth pausó sus servicios e inició una operación de recuperación de emergencia en colaboración con Keplr.
Los equipos utilizaron los mismos vectores de derivación expuestos para ejecutar bots automatizados que transfirieron preventivamente los activos de más de 44.000 monederos en siete cadenas Cosmos y más de 7.600 en Injective hacia direcciones de custodia segura designadas por la empresa.
Uno de los mayores retos técnicos durante la crisis radicó en la gestión de los activos bloqueados en participación (staking), porque en la red Cosmos Hub y otras cadenas basadas en Cosmos SDK, desvincular tokens delegados (unbonding) requiere un periodo de espera obligatorio de entre 14 y 21 días.
Pero evidentemente, bajo circunstancias normales, estos fondos habrían quedado atrapados a merced de los atacantes por lo que para neutralizar este riesgo, el equipo de respuesta utilizó un mecanismo avanzado de tokenización de participaciones.
Web3Auth has verified the following addresses as related to the recovery efforts, not malicious/exploit addresses: Cosmos Hub cosmos1atuap9kfnt6y8ykvn3437e7j3z8qffh3qtnmwu Osmosis osmo1atuap9kfnt6y8ykvn3437e7j3z8qffh3gsqtcw Celestia celestia1atuap9kfnt6y8ykvn3437e7j3z8qffh33pzt53 Akash akash1atuap9kfnt6y8ykvn3437e7j3z8qffh3ds7uhx Noble noble1atuap9kfnt6y8ykvn3437e7j3z8qffh3ggxnkj Injective inj1lqmdmuczn5rxn5jkc34wwrqdeh70etpf5wvt7g dYdX dydx1atuap9kfnt6y8ykvn3437e7j3z8qffh3fjalwt Babylon bbn1atuap9kfnt6y8ykvn3437e7j3z8qffh3h4z239 Axelar axelar1atuap9kfnt6y8ykvn3437e7j3z8qffh3y99n9a Saga saga1atuap9kfnt6y8ykvn3437e7j3z8qffh37c2ff6 Agoric agoric1atuap9kfnt6y8ykvn3437e7j3z8qffh3jk3y72 EVM 0x413e4F4De7E5FF010913488F781E679e76f706dA Please refer to Web3Auth’s official channels for updates on the recovery process and beware of impersonators or fraudulent recovery requests.
— Keplr Wallet (@keplrwallet) November 8, 2026
Mediante transacciones agrupadas (bundles) financiadas por una billetera de gas independiente, el sistema redirigió el destino de las recompensas acumuladas, convirtió las posiciones de staking en tokens representativos líquidos e inmediatamente transfirió dichos activos a las billeteras de recuperación de Web3Auth.
Este movimiento técnico evitó el robo de aproximadamente 1,96 millones de tokens ATOM depositados en validadores, demostrando la capacidad de adaptación de las herramientas de infraestructura descentralizada ante situaciones de catástrofe inminente.
El incidente de Web3Auth y Keplr impacta directamente en el centro del debate sobre la adopción masiva de Web3, que es la fricción en la experiencia de usuario (UX) frente a la autocustodia estricta.
Durante años, la industria ha impulsado el desarrollo de billeteras integradas (embedded wallets) y la abstracción de cuentas como el puente fundamental para atraer al usuario común de la Web2, aquel que encuentra complejo o riesgoso gestionar llaves privadas y frases de recuperación en papel.
Sin embargo, este caso demuestra que la simplificación del acceso a menudo introduce puntos únicos de falla o capas intermedias de confianza que desdibujan la premisa original de la tecnología blockchain.
A pesar de que más del 86% de los barridos de fondos correspondieron a la acción de rescate ético de Web3Auth y no a robos directos perpetrados por el atacante original, el resultado visual para miles de usuarios fue el mismo: saldos repentinamente reducidos a cero y la incertidumbre de depender de un proceso corporativo de verificación de identidad fuera de cadena (off-chain) para recuperar sus fondos.
No obstante, las repercusiones de esta brecha van mucho más allá de Keplr y el ecosistema Cosmos, afectando a diversos actores de la industria cripto, porque proveedores de Abstracción de Cuentas y MPC, que son firmas que desarrollan infraestructura de billeteras integradas y soluciones de inicio de sesión social deberán someter sus arquitecturas a auditorías de seguridad mucho más rigurosas.
As part of the security response relating to the incident affecting certain Keplr wallets, we, in connection with our partners, began whitehat recovery activities targeting vulnerable but not yet impacted wallets utilizing the same path of the original attacker.
— Web3Auth (@Web3Auth) November 7, 2026
A partir de ahora, la delegación de custodia fragmentada requiere garantizar que la vulneración de un servidor o módulo no comprometa el conjunto total de claves derivadas. También los desarrolladores de dApps y Protocolos Multicadena, que son las aplicaciones descentralizadas que integran SDKs de terceros para el onboarding de usuarios deberán reevaluar las políticas de permisos y los límites de exposición de las billeteras sociales frente a las billeteras respaldadas por frases semilla tradicionales o dispositivos de hardware.
Asimismo, las Plataformas de Análisis en Cadena y Monitoreo deberán cambiar, porque el caso expuso la dificultad analítica para diferenciar en tiempo real entre un ciberataque malicioso y un barrido preventivo de carácter ético (whitehat).
De manera que, las firmas de inteligencia en cadena enfrentan el reto de ajustar sus modelos de alerta temprana para evitar interpretaciones erróneas que alimenten el pánico en los mercados y por último, los Usuarios Finales y las Buenas Prácticas que deben emplear, han sido impactados por esta vulnerabilidad.
Básicamente, la lección fundamental para la comunidad es la vigencia cada vez más del axioma “not your keys, not your coins”, ya que si bien las billeteras sociales ofrecen comodidad para interactuar con montos menores o aplicaciones de microtransacciones, la custodia de activos significativos exige el uso de frases de recuperación fuera de línea o billeteras frías de hardware, las cuales resultaron completamente inmunes a este incidente.
El rescate ejecutado por Web3Auth y Keplr evitó una catástrofe financiera de mayores proporciones, pero deja al descubierto que el camino hacia la simplificación de la Web3 aún exige superar importantes desafíos de seguridad estructural.