Keplr: vacían billeteras creadas con Google y Apple por una falla de Web3Auth

Abrir una billetera cripto con «Continuar con Google» es cómodo: no hay frase semilla que anotar. Esta semana, esa comodidad salió cara para usuarios de Keplr. Una falla en Web3Auth, el proveedor de ese inicio de sesión, expuso cuentas creadas con Google o Apple, y unos US$6 millones salieron de billeteras en redes de Cosmos. Te contamos qué pasó y qué aprender de esto.

Qué pasó

Web3Auth, un servicio de inicio de sesión con redes sociales que pertenece a Consensys (la empresa de MetaMask), avisó en X hacia las 21:13 UTC del 6 de noviembre de un problema de seguridad y pausó su servicio de billeteras integradas, según CoinCentral.

Horas después, hacia las 04:38 UTC del 7 de noviembre, Keplr, una de las billeteras más usadas en el ecosistema Cosmos, informó: «Hemos recibido reportes de transacciones no autorizadas en algunas cuentas de Keplr creadas con inicio de sesión de Google o Apple» (crypto.news; CoinCentral). Pausó ese tipo de inicio de sesión.

Josh Lee, cofundador de Chainapsis, la empresa detrás de Keplr, fue claro: «Esto no fue un hackeo del código de Keplr. El incidente se originó en Web3Auth, un proveedor que Keplr usa». Estimó que hasta un 20% de las cuentas con inicio de sesión social podrían estar afectadas, aunque solo una parte fue vaciada (crypto.news).

Cuánto se llevaron

La firma de análisis Bitquery rastreó unos US$6,01 millones hacia dos direcciones, desde unas 44.700 billeteras en siete redes de Cosmos e Injective; unos US$3,5 millones salieron de Cosmos Hub (crypto.news; CryptoTicker). Hay una advertencia importante: parte de esas salidas pueden ser traslados de rescate hechos por Web3Auth y sus socios para proteger fondos. No hay una cifra oficial de pérdidas ni de afectados.

Web3Auth dijo que, tras una primera investigación, no encontró evidencia de que los usuarios de MetaMask estén afectados. No explicó cómo se expusieron las claves privadas. Trust Wallet también dijo que sus productos no se vieron afectados (U.Today).

Quién no perdió nada

Las cuentas de Keplr creadas con frase semilla o conectadas a una billetera física no se vieron afectadas, según Lee. La diferencia está en quién guarda la llave: con el inicio de sesión social, una parte de la clave depende de un proveedor externo. Si ese proveedor falla, tu billetera queda expuesta aunque tú no hayas hecho nada mal.

Qué hacer si usas una billetera con inicio de sesión de Google o Apple

1. Si usas Keplr con Google o Apple, sigue solo los canales oficiales de Keplr y no hagas clic en enlaces que te lleguen por mensaje directo prometiendo «recuperar» fondos.
2. Para montos importantes, usa frase semilla o billetera física. Anota la frase en papel, nunca en el teléfono ni en la nube. Aquí comparamos qué billetera física comprar.
3. Deja el inicio de sesión social para saldos pequeños, como una billetera de uso diario.
4. Desconfía de los «servicios de recuperación». Tras cada hackeo aparecen estafadores que cobran por recuperar fondos que no pueden recuperar.

Este caso se suma a una racha de incidentes de seguridad en el sector: los repasamos en ocho incidentes en nueve días.

Este artículo es informativo y no es asesoría financiera.

Fuentes: crypto.news, 8 nov 2026; CoinCentral, 8 nov 2026; CryptoTicker, 7 nov 2026; U.Today, 8 nov 2026; KuCoin News (citando a Odaily), 7 nov 2026.