Około 6,01 mln USD to szacunek wartości transferów związanych z incydentem Keplr, a nie potwierdzona kwota skradzionych środków. 8 listopada 2026 r. Web3Auth poinformował, że część transferów uznawanych za działania napastników była operacjami odzyskiwania aktywów.
Wartość zarejestrowanych transferów i kwota przypisana kradzieży to dwie różne liczby.
Co obejmuje szacunek transferów
Bitquery oszacował wartość transferów na około 6,01 mln USD. Ta suma nie określa strat spowodowanych kradzieżą. Web3Auth podał, że wraz z pomocą Keplr przenosił aktywa do portfeli odzyskiwania, a część tych operacji błędnie uznano za aktywność napastników.
Bitquery szacował też, że po uwzględnieniu nakładania się danych z różnych sieci incydent dotyczył około 44 700 odrębnych portfeli. Josh Lee, współzałożyciel Keplr, oceniał, że potencjalnie zagrożonych mogło być około 20% kont logowanych przez Google lub Apple; mówił zarazem, że wykorzystano tylko część z nich. To odrębne szacunki dotyczące różnych grup, a nie liczby, które można ze sobą utożsamiać.
Których kont Keplr dotyczyły zgłoszenia
W komunikacie z 7 listopada 2026 r. Keplr poinformował o zgłoszeniach nieautoryzowanych transakcji na niektórych kontach utworzonych przez logowanie Google lub Apple. Firma prowadziła dochodzenie wspólnie z Web3Auth. Keplr przekazał również, że konta korzystające z frazy odzyskiwania oraz portfele sprzętowe nie były objęte zgłoszeniami.
Josh Lee przypisał źródło incydentu infrastrukturze Web3Auth, z której korzysta Keplr. Odróżnił ten problem od naruszenia kodu portfela Keplr.
Jakie zalecenia przekazał Keplr
Użytkownikom potencjalnie dotkniętych kont logowanych przez Google lub Apple Keplr zalecił, by nie dodawali do nich środków i przenieśli pozostałe płynne aktywa na konto z frazą odzyskiwania albo do portfela sprzętowego.
Zmiana hasła Google nie zabezpiecza klucza prywatnego, który już wyciekł. Takie rozróżnienie przedstawił Learn Crypto w wyjaśnieniu opublikowanym 9 listopada 2026 r.
