我的知識庫

區塊鏈 · 2026-11-13

閱讀時間約 10 分鐘

Keplr 錢包在 11 月 6 日暫停 Google 與 Apple 社群登入,Web3Auth 隔天承認是自家基礎設施的漏洞導致私鑰外洩,這起事件的重點是:社群登入錢包的私鑰安全,有一部分押在第三方金鑰服務上,而不是只押在你的 Google 帳號。今天拆解它的機制、已知與未知,以及自保做法。

讀到的程度:我實際打開並讀到內容的只有 CryptoTicker 11 月 7 日的整理文章;其他來源(The Hacker News、Bitcoin.com、Keplr 與 Web3Auth 官方聲明)我只看到搜尋結果的標題或摘要,沒有讀原文。文中數字多為二手轉述或當事人估計,沒有任何一個是我自己驗證的;標明「自算」或「推論」的才是我的判斷。

📖 學

一、發生了什麼:時間線(依 CryptoTicker 整理)

11 月 6 日,Keplr(Chainapsis 開發、以 Cosmos 生態為主的多鏈錢包)在用戶回報未授權交易後,暫停了 Google 與 Apple 登入。同一天,Web3Auth 確認發生資安事件,影響部分第三方服務商,並暫時停用其嵌入式錢包服務。Web3Auth 自 2025 年起歸屬 MetaMask 開發商 Consensys,它的初步調查沒有發現 MetaMask 用戶受影響。11 月 7 日,Web3Auth 把原因說成「自家基礎設施的漏洞造成私鑰外洩」,部分以 Google 或 Apple 登入的用戶受影響;攻擊手法未公開,說要等資金追回流程結束後再說明。

二、為什麼社群登入錢包有這種風險

用 Google 登入建立的帳號,私鑰不是用戶自己抄下來的助記詞,而是由 Web3Auth 產生。依該文,它用分散式金鑰產生(distributed key generation):金鑰被拆成多份、放在不同地方,只有登入時才重新組合。好處是用戶不用保管助記詞,壞處是安全性一部分取決於服務商的基礎設施。這是機制層面的結論,不是這次具體漏洞的說明,因為漏洞細節尚未公開,「為什麼拆份仍然外洩」目前沒有答案(推論:可能是拆份後的重組或存取控管環節出問題,但這只是猜測)。

三、已知範圍與未知範圍

依該文,Keplr 共同創辦人 Josh Lee 估計約 20% 的社群登入帳號可能受影響,但實際被利用的只是其中一部分。損失金額沒有確認數字,兩家公司都沒有公布受影響帳號數或被轉走的價值,社群估計未經驗證(搜尋結果有一篇 Bitcoin.com 標題寫約 600 萬美元轉移,我沒讀原文,也找不到一手來源佐證,不採信為事實)。社群調查者追蹤到的可疑資金流動涉及 Injective(INJ)、Osmosis(OSMO)與 Cosmos Hub(ATOM),但沒有官方受影響鏈清單。用自己的助記詞或綁硬體錢包的帳號,依 Keplr 初步檢視不受影響。

四、「救援轉帳」讓判斷更難

Web3Auth 與夥伴把尚未被攻擊的高風險錢包的資金,沿著與攻擊者相同的路徑先移走。結果是部分帳號餘額變少或變空,不一定是被偷。Web3Auth 正在整理驗證過的救援目的地位址清單,並呼籲不要把不明去向草率認定為攻擊者。質押與鎖定中的資產會拖慢救援,因為 Cosmos 的解綁有等待期。這裡有個值得記住的矛盾:要救人,救援者就得動用與攻擊者同等的能力,這也說明為什麼金鑰由服務商掌握是一種集中式風險。

五、這起事件還沒回答的問題

截至 11 月 7 日的報導:沒有宣布賠償,沒有恢復社群登入的日期,Keplr 與 Web3Auth 合作的用戶自查工具也沒有時間表。我沒有查到 11 月 7 日以後是否有更新,所以下面的預測才標成待驗證。

🧠 記

  • 一句話: Web3Auth 基礎設施漏洞洩漏私鑰,Keplr 為此在 11 月 6 日暫停 Google/Apple 登入。
  • 範圍: 只有社群登入帳號;自有助記詞與硬體錢包帳號依初步檢視不受影響;受影響比例約 20% 是共同創辦人估計。
  • 金額: 沒有確認數字,別引用未經驗證的估計。
  • 機制: 私鑰由服務商以分散式金鑰產生,安全性部分依賴第三方基礎設施。
  • 判讀陷阱: 餘額變空可能是救援轉帳,先對照救援位址清單再下結論。
  • 邊界: 我只讀了一篇二手整理,漏洞原因、損失與最新進度都未驗證。

✍️ 實踐

全部唯讀,約 20 分鐘。

  1. 盤點你自己用過的社群登入錢包(Google 或 Apple 登入建立的),寫出每個放了多少比例的資產,以及有沒有對應的助記詞備份(約 5 分鐘)。
  2. 畫一張圖:「用戶的 Google 帳號、服務商的金鑰分片、錢包 App」三者各自被攻破時,會發生什麼事。標出這次事件對應哪一格,並誠實寫「漏洞細節未公開」(約 10 分鐘)。
  3. 找到 Keplr 與 Web3Auth 的官方公告頁,看有沒有 11 月 7 日之後的更新,並把你看到的日期與來源記下來(約 5 分鐘)。

可證偽預測(台北時間):

  • 預測一: 2026 年 11 月 30 日前,Web3Auth 公開發表說明攻擊手法或根因的事後報告 55%。
  • 預測二: 2026 年 11 月 30 日前,Keplr 恢復 Google 與 Apple 登入 35%。
  • 預測三: 2026 年 12 月 31 日前,Keplr 或 Web3Auth 公開宣布對受影響用戶的賠償或補償方案 30%。

🔗 延伸學習

💬 問 AI

我在學 Keplr 與 Web3Auth 的社群登入錢包事件(2026 年 11 月 6 到 7 日)。我只讀了一篇二手整理(CryptoTicker),沒讀官方聲明與漏洞細節(目前據說尚未公開)。
 
我目前的理解(請逐條檢查):
- Google/Apple 登入帳號的私鑰由 Web3Auth 以分散式金鑰產生,拆成多份,登入時重組。
- Web3Auth 說原因是自家基礎設施漏洞造成私鑰外洩;Keplr 說不是 App 程式碼的問題。
- 共同創辦人估計約 20% 社群登入帳號可能受影響,損失金額沒有確認數字。
- 部分餘額變空可能來自救援轉帳,不一定是被偷。
 
請幫我:
(a) 用白話解釋分散式金鑰產生(MPC / 門檻式分片)的安全模型,並列出「即使拆份仍可能外洩」的幾種一般性原因,明確標示這些是通用知識、不是這次事件的原因;
(b) 比較社群登入錢包、自持助記詞錢包、硬體錢包三者在「誰能動我的私鑰」上的差異;
(c) 幫我設計一份檢查清單,判斷我的帳號是被攻擊還是被救援轉走;
(d) 每個結論標示「來源說的」、「你另外查到的(附網址)」、「你的推論」,不要編造連結、日期、數字。
這是學習用,不要給投資建議。

反向連結