El equipo de la cartera criptográfica no custodial Keplr registró una serie de mensajes sobre transacciones no autorizadas en cuentas individuales creadas mediante la autorización de Google o Apple. El incidente afecta precisamente a aquellas direcciones donde la generación de claves se basaba en el inicio de sesión social, y no en una frase semilla clásica o un dispositivo hardware.
Los desarrolladores ya han iniciado una investigación interna y la llevan a cabo junto con el equipo de Web3Auth, el proveedor que proporciona la mecánica de inicio de sesión a través de servicios de terceros. Según una evaluación preliminar, las carteras creadas con una frase semilla o conectadas a un almacenamiento hardware no entran en la zona de riesgo: sus claves se generan y almacenan localmente, fuera de la infraestructura de autorización social.
Qué medidas se han tomado
Como medida de protección, Keplr ha suspendido temporalmente la autorización a través de Google y Apple. A los usuarios de dichas cuentas se les recomienda abstenerse de recargar el saldo, así como no importar ni recrear estas carteras hasta que aparezcan aclaraciones oficiales. El equipo prometió publicar información confirmada e instrucciones adicionales tras finalizar la verificación.
La situación subraya el compromiso fundamental inherente a la arquitectura del inicio de sesión social: la comodidad de una autorización fluida se logra a costa de intermediarios adicionales en la cadena de generación de claves. Cualquier fallo o vulnerabilidad por parte de dicho proveedor potencialmente amplía la superficie de ataque para los fondos de los usuarios.
Hasta que concluya la investigación, es aconsejable que los titulares de carteras Keplr con autorización social mantengan la vigilancia y sigan los canales oficiales del equipo. Para las demás categorías de cuentas —basadas en frase semilla y carteras hardware— la amenaza no está confirmada por el momento.
Análisis de Cryptalist: El incidente en Keplr vuelve a poner de actualidad la cuestión de la resiliencia de los modelos de abstracción de cuentas, donde la seguridad depende de proveedores de autorización de terceros. El mercado de carteras no custodiales se verá obligado a reforzar la auditoría de este tipo de integraciones, y los usuarios, a reconsiderar el equilibrio entre la comodidad del inicio de sesión social y el autocontrol sobre las claves privadas. Para el segmento de Web3Auth y soluciones similares, esto es una señal sobre la necesidad de garantías de seguridad más transparentes a nivel de infraestructura.