نحو 44 ألف محفظة Keplr تُفرَّغ بعد خلل في بنية Web3Auth، والشركة تقول إنها نقلت جزءًا منها إلى عناوين إنقاذ
فُرّغت نحو 44 ألف محفظة رقمية خلال يومين بين 6 و7 نوفمبر 2026، ولا يعرف أصحابها حتى الآن إن كان من نقل أموالهم مهاجمًا أم الشركة نفسها. والمحافظ تابعة لتطبيق Keplr، الذي يعتمد في تسجيل الدخول على شركة Web3Auth، وهي شركة توفر المحافظ المدمجة خلف أزرار مثل «سجّل الدخول بـ Google».
وبحسب تحقيق شركة Bitquery، المحدث في 7 نوفمبر 2026 الساعة 15:38 UTC، شمل الحادث 44,041 محفظة على 7 شبكات من منظومة Cosmos، إضافة إلى 7,603 محفظة على شبكة Injective. ونُقل 1.96 مليون من عملة ATOM كانت مجمدة في الـ staking. وتتوزع المبالغ بين 3.50 مليون دولار على Cosmos Hub، و1.04 مليون على Osmosis، و615 ألفًا على Injective.
أين كان الخلل
زر الدخول بـ Google في هذه الحالة لا يعني أن Google تحتفظ بشيء. فبين المستخدم ومفتاح محفظته طرف ثالث، هو مزود البنية، وهذا الطرف قادر على إعادة تركيب المفتاح. وهي ميزة تسهل الدخول على من لا يريد حفظ عبارات الاسترداد، لكنها تعني أن المفتاح لم يعد في يد المستخدم وحده. وحين انكسرت البنية لدى هذا الطرف، أصبحت مفاتيح المستخدمين مكشوفة.
ويرسم تحقيق Bitquery التسلسل الزمني بتوقيت UTC. ففي 6 نوفمبر الساعة 20:52 ظهر أول سحب على 10 محافظ بمبالغ صغيرة، بدا كأنه اختبار. وفي 21:13، بعد 21 دقيقة فقط، صدر أول إعلان من Web3Auth. وفي 7 نوفمبر الساعة 04:38 حذّرت Keplr مستخدميها وأوقفت الدخول عبر Google وApple. لكن 86% من المحافظ فُرّغت بعد هذا التحذير.
ما يميز الحادث أن الشركة قالت، بحسب تصريحات على X نقلها تقرير The Hacker News في 9 نوفمبر، إنها استخدمت الطريق نفسه الذي استخدمه المهاجم لتفريغ محافظ لم تتأثر بعد، ونقلتها إلى عناوين «إنقاذ». ونشرت Bitquery في البداية أن ما حدث سرقة، ثم صححت ذلك، موضحة أن الشبكة لا تميز بين السرقة والإنقاذ، فالعمليتان على السلسلة متطابقتان.
وتقول Bitquery إن 6.01 مليون دولار ما زالت في عناوين الإنقاذ ولم يخرج منها شيء، لكنها تقول أيضًا إنها لا تستطيع التأكد ممن يملك مفاتيح هذه العناوين. وتُظهر صفحة حالة Web3Auth انقطاعًا بتاريخ 9 نوفمبر 2026 الساعة 11:15 UTC، وخدمة الدخول ما زالت متوقفة.
ودلالة ذلك تتجاوز العملات الرقمية إلى كل من يبني منتجًا. فأي طرف ثالث قادر على استعادة مفاتيح المستخدمين أو حساباتهم قادر أيضًا على نقلها، والمستخدم في هذه الحالة لا يملك وسيلة للتفريق بين من يحميه ومن يسرقه. ويصبح اختيار مزود الـ auth بذلك قرارًا حول من يملك حسابات المستخدمين فعليًا، لا مجرد قرار حول سهولة الدخول.
ولم تعلن أي من الشركتين كم حصل المهاجم، ولا من يحتفظ بمفاتيح عناوين الإنقاذ، ولا موعد عودة خدمة الدخول.