Keplr hackeada: falha na Web3Auth expõe quem entrou com Google ou Apple

Carteiras da Keplr criadas com login do Google ou da Apple tiveram as chaves privadas expostas por uma falha na Web3Auth. Cerca de 44 mil carteiras do ecossistema Cosmos foram varridas e mais de US$ 6 milhões saíram delas. Veja o que aconteceu, quem foi afetado e o que fazer agora.

O que aconteceu com a Keplr

A Keplr, uma das carteiras mais usadas do ecossistema Cosmos (ATOM, Osmosis, Celestia, Injective, dYdX), oferece duas formas de criar conta: a tradicional, com frase de recuperação de 12 ou 24 palavras, e o login social, em que o usuário entra com a conta do Google ou da Apple e não precisa anotar nada.

Esse login social não é feito pela Keplr. Quem guarda e remonta a chave por trás dele é a Web3Auth, empresa de infraestrutura comprada pela Consensys (dona da MetaMask) em junho de 2025. Na noite de 6 de novembro de 2026, uma falha na infraestrutura da Web3Auth deixou chaves privadas dessas carteiras ao alcance de um atacante.

O cofundador da Keplr, Josh Lee, foi direto: “não foi um hack no código da Keplr”. O problema nasceu no fornecedor. Para quem perdeu dinheiro, porém, a diferença é pequena: a carteira tinha o nome Keplr e o saldo sumiu.

Linha do tempo do ataque

Horários em UTC (no horário de Brasília, subtraia 3 horas), segundo o levantamento on-chain da Bitquery e os comunicados das empresas.

1. 06/11 · 20:52Primeira varredura: uma transferência pequena, com cara de teste, na Cosmos Hub.
2. 06/11 · 21:13A Web3Auth pausa o serviço de carteiras embutidas e publica o primeiro aviso, 21 minutos depois do primeiro saque.
3. 07/11 · 04:38A Keplr alerta os usuários e desliga o login com Google e Apple.
4. 07/11 · 09:57Começam as varreduras em lote, até seis carteiras por transação.
5. 07/11 · 16:43Fundos começam a chegar também em redes compatíveis com Ethereum (Ethereum, Base, BNB Chain, Arbitrum, Optimism, Polygon).
6. 08/11A Web3Auth publica 12 endereços de “recuperação” e diz que parte das transferências vistas como roubo foi resgate feito por ela.

O que é a Web3Auth e por que o login social virou risco

A promessa do login social é tirar da frente do usuário a parte mais chata das criptomoedas: a frase-semente. Em vez de anotar 24 palavras, você entra com o e-mail do Google ou o Apple ID, e a Web3Auth divide a chave privada em pedaços guardados em lugares diferentes. Quando você faz login, os pedaços são juntados e a carteira abre.

Na prática, isso cria um ponto central de falha. Se a infraestrutura que guarda ou junta esses pedaços tem um defeito, todas as carteiras que dependem dela ficam expostas de uma vez. Foi o que aconteceu: uma única falha atingiu dezenas de milhares de carteiras ao mesmo tempo.

Até a manhã de 9 de novembro, nem a Web3Auth nem a Keplr tinham publicado a causa técnica. Relatos iniciais falam em uma falha de autenticação de sessão na Web3Auth, sem mais detalhes. A Bitquery também apontou que nenhum phishing foi necessário: o atacante não precisou enganar ninguém para ter as chaves.

Quanto foi roubado

Os números ainda não fecham, e é preciso cuidado com eles:

A Web3Auth afirma que passou a “correr na frente” do atacante: tirou o saldo de carteiras vulneráveis que ele ainda não tinha alcançado e levou para os 12 endereços de recuperação. Todos os oito endereços que a Bitquery havia ligado ao ladrão estão nessa lista. Por isso, uma carteira zerada não significa, necessariamente, dinheiro roubado: pode ser resgate.

A própria Web3Auth, porém, fala em um “atacante original”, o que indica que houve roubo de verdade antes do resgate. Quanto ele levou, para onde foi e quando os valores resgatados voltam aos donos ainda não foi informado. Também não há prazo para reembolso.

Quem foi afetado e quem não foi

Outros aplicativos que usam a Web3Auth para login social ainda estão sendo avaliados. Se você usa qualquer carteira que abre só com Google, Apple ou e-mail, sem nunca ter mostrado uma frase de recuperação, vale tratar o saldo como exposto até o fornecedor se manifestar.

Golpe do reembolso: não clique em links por e-mail

Todo grande ataque gera uma segunda onda, e ela costuma ser pior que a primeira: golpistas se passando pela vítima de ontem. Depois do caso Keplr, espere ver:

• e-mails “da Keplr” ou “da Web3Auth” com link para “verificar se sua carteira foi afetada”;
• mensagens oferecendo reembolso mediante conexão da carteira ou pagamento de “taxa de gás”;
• perfis falsos no X, Telegram e Discord se apresentando como suporte;
• sites com nomes parecidos (keplr-algumacoisa, keplr.algumacoisa) com uma cópia perfeita da carteira.

A própria Keplr e a Web3Auth avisaram que existem impostores e pedidos falsos de recuperação. A Keplr disse que está criando uma forma de o usuário consultar se a conta foi afetada; quando existir, ela será anunciada nos canais oficiais, não em um e-mail que chega do nada.

Checklist de segurança

Perguntas frequentes