Web3Authのインフラに脆弱性が生じ、GoogleまたはAppleログインで作成されたKeplrウォレットの秘密鍵が露出した。2026年11月6日から8日にかけて、Web3AuthはKeplrと協力してリカバリーアドレスへの防御的な資産移転を開始した。攻撃者によって実際に奪われた金額は、現時点で公表されていない。
Web3Authのインフラ障害により、GoogleまたはAppleのソーシャルログインで作成されたKeplrウォレットの秘密鍵が一部のユーザーに対して外部に露出した。The Blockの報道によると、2026年11月6日から8日の間、一部ユーザーが不正トランザクションを報告するなか、Web3Authは管理下のリカバリーアドレスへの資産移転を開始したと発表した。同社はKeplrと連携してユーザーへの資産返還に取り組んでいると説明している。
この問題はKeplrのウォレットコード自体やBlockchainの脆弱性ではなく。ソーシャルログイン統合サービスに起因する。The Blockが引用したKeplrの共同創業者のコメントによれば。GoogleまたはAppleで作成されたKeplrアカウントの約20%が影響を受けた可能性がある。リカバリーフレーズまたはハードウェアウォレットで作成したアカウントは、今回の問題とは無関係だとKeplrは説明している。
何が移転され、資金はどこにあるか
Web3Authは12件のアドレスをリカバリー目的の送金先として公表した。The Blockが2026年11月8日に確認した時点では、これらのアドレスが保有する暗号資産の合計はCoinGeckoのオンチェーンデータ換算で約560万ドルに上っていた。この数字はオンチェーンで観測された残高のスナップショットであり、攻撃による損失額の推定値ではない。
別途、ブロックチェーン分析会社Bitqueryが当初、2つのアドレスに数万ものウォレットから約601万ドルが流入したと報告した。その後Bitqueryは、当該2アドレスがWeb3Authのリカバリー先リストに含まれていると確認した。Bitqueryは、アドレスの管理者を独自に検証する手段がなく、また攻撃者によって別のアドレスへ流出したウォレットの分はカウントに含まれていない可能性があると注意を促している。
つまり2つの数字は単純に比較できない。The Blockは11月8日の確認時点で12のリカバリーアドレスに約560万ドルを確認し、Bitqueryは異なる時点と異なるトランザクション範囲で約601万ドルを集計した。当初「盗難」と解釈された動きの一部は、Web3Authが主導したリカバリー操作に関連していた可能性がある。
攻撃者が対抗措置が取られる前にどれだけの資産を奪ったかは不明なままだ。Web3Authは報道のなかで「オリジナルの攻撃者」に言及したが、損失総額を公表しておらず、その人物またはグループに帰属するアドレスも公式には開示していない。
KeplrログインにおけるWeb3Authの役割
Keplrはリカバリーフレーズによるウォレット作成に加え、一部のアカウントではGoogleやAppleのソーシャルログインにも対応している。後者の場合、アクセス管理と鍵生成にはWeb3Authが関与する。Web3Authは埋め込み型ウォレットのインフラプロバイダーだ。秘密鍵はトランザクションの署名を承認する。鍵が露出すれば、その鍵を持つ者が操作に署名し、紐づく資産を移動させることができる。
この区別は重要だ。ブロックチェーンはトランザクションを記録するが、誰がそれを承認したか、また移転を実行したのが攻撃者かリカバリーチームかはブロックチェーン単体では判断できない。BitqueryはWeb3Authの最初の公式発表より前に、後でリカバリー先として公開されたアドレスへの移転がすでに始まっていたと報告している。タイムラインだけでは個々の動きを特定の主体に帰属させることはできない。
KeplrはGoogleおよびAppleログインを停止し、ソーシャルアカウントを持つユーザーに対して追加の資金を入金しないよう呼びかけた。ソフトウェアウォレットと専用デバイスの違いについては、当サイトのハードウェアウォレット比較ガイドを参照してほしい。リカバリーフレーズまたはハードウェアウォレットで作成されたアカウントは今回の影響を受けないとKeplrは強調した。脆弱性の技術的な原因、影響を受けたアカウントの最終的な件数、資産返還の完全な手順は、現在入手可能な情報の範囲ではまだ公表されていない。
未解決の課題
言い換えると、今回のインシデントには、少なくとも3つの運用上の問題が残っている。第一は、Web3Authインフラの脆弱性の原因と、鍵がどのようにアクセス可能になったかという点だ。第二は、ユーザー自身、潜在的な攻撃者、そしてリカバリーに携わったチームそれぞれが移転した資金の最終的な内訳だ。第三は返還手続きそのものだ。Web3AuthはKeplrと協力してリカバリーを進めていると述べているが、現時点で入手可能な情報のなかには、具体的なスケジュールや個別の手続きの詳細はまだ示されていない。
リカバリー先として公開されたアドレスはオンチェーンで観察可能だが、その残高はすでに返金が完了したことを意味しない。ユーザーへの返還が実現するまで、これらの資産は別のアドレスに留まっており、その可用性は関係する主体が採用する保管・移転方法に依存する。
日本のユーザーへの影響
公表されているコミュニケーションには、影響を受けたアカウントの地理的分布は示されておらず、日本のユーザーがどれだけ含まれるかは不明だ。リスクはウォレットの作成方法によって異なる。Keplrの警告はGoogleまたはAppleログインで設定されたアカウントに関するものであり、リカバリーフレーズまたはハードウェアウォレットで設定されたアカウントは今回の事象とは無関係とされている。
秘密鍵の露出と個人データ漏洩の違いは、最近のKeystoneのインシデントでも浮き彫りになった。Keplrを利用している方は、同社の公式チャンネルが発信する最新情報のみを参照し、自分のアカウントに関する具体的な指示に従ってほしい。資金の回収を約束したり、秘密鍵・リカバリーフレーズ・前払い金を要求したりする未承諾のメッセージには十分注意が必要だ。現時点で収集された独立した情報のなかで、外部の第三者が返還を早めることができると確認するものは存在しない。標的型フィッシング詐欺の試みは、SafePalの顧客情報漏洩やTrezorのデータ侵害後にも記録されている。
Web3AuthとKeplrの現状まとめ
確認済みの事実と未確認の事項
- 確認済み: Web3Authの脆弱性により、GoogleまたはAppleログインで作成されたKeplrウォレットの鍵の一部が露出した。リカバリーアドレスへの移転が開始された。
- 未公表: 完全な技術的原因、影響を受けたアカウントの最終件数、攻撃者に帰属する損失額。
- 要注目: ユーザーへの返還計画と、リカバリー移転の詳細な報告。
より広い視点から見た考察
今回のエピソードは、ソーシャルログイン型ウォレットの脆弱なポイントを示していると私たちは考える。簡易化されたユーザー体験は、鍵管理に関与する外部インフラに依存することがある。これは、暗号資産攻撃の事例集で取り上げたような商業的なデータ漏洩とは性質の異なるリスクだ。しかし、どちらのケースもデジタル資産の保管を取り巻くサービスの重要性を示している。ログインの利便性は、トランザクション署名を可能にするプロセスを保護する必要性をなくすわけではない。ただし本件については。すべての技術的なステップを公開情報から完全に再現したり、あらゆる移転を確実に特定の主体に帰属させたりすることはまだできない。
緊急対応はオンチェーンデータの解釈も複雑にした。Web3AuthはKeplrと協力し、攻撃者と同じ技術的経路を使用して、脆弱なウォレットに残っていた資産を保護したと説明している。したがって、異常な移転が単独で盗難を証明するわけではない。検証済みのアドレス、完全なタイムライン、そして実際に返還された資金の正確な報告が必要だ。
