Ngày 6–7/11/2026, ví Keplr tạm dừng đăng nhập bằng Google và Apple sau khi người dùng báo có giao dịch trái phép trên các tài khoản tạo qua đăng nhập mạng xã hội. Web3Auth — nhà cung cấp hạ tầng đứng sau các ví nhúng này (cũng là công nghệ của MetaMask Embedded Wallets, thuộc Consensys) — xác nhận có "vấn đề bảo mật trong hạ tầng" ảnh hưởng một số ví nhúng dùng cho Keplr, dẫn tới lộ private key của một số tài khoản đăng nhập mạng xã hội.

Nói rõ để khỏi hiểu sai: đây không phải lỗi smart contract của Keplr, cũng không phải lỗi đồng thuận của blockchain. Đây là lỗi ở tầng giữ khóa ngoài chuỗi (off-chain): ví tạo bằng đăng nhập mạng xã hội không đưa cho người dùng cụm khôi phục, mà private key nằm sau dịch vụ của bên thứ ba — và bên thứ ba đó đã bị xâm nhập.

Ai bị ảnh hưởng, ai không:

  • Dính: tài khoản Keplr tạo bằng đăng nhập Google hoặc Apple qua Web3Auth. Ví Dungeon Wallet cũng cảnh báo người dùng về cùng vụ Web3Auth này.
  • Không dính (theo đánh giá ban đầu của Keplr): ví tạo bằng cụm khôi phục (recovery phrase) hoặc ví phần cứng (Ledger, Trezor...).
  • Web3Auth cho biết điều tra ban đầu không thấy bằng chứng người dùng MetaMask bị ảnh hưởng — đây là kết luận sơ bộ, chưa phải báo cáo pháp y đầy đủ.

Mức độ: đồng sáng lập Keplr Josh Lee ước tính khoảng 20% tài khoản đăng nhập mạng xã hội bị ảnh hưởng, và chỉ một phần trong số đó đã bị khai thác; phần còn lại có thể khôi phục được bằng whitehat recovery. Lưu ý: 20% là 20% tài khoản đăng nhập mạng xã hội, không phải 20% toàn bộ ví Keplr. Chưa có tổng thiệt hại chính thức — các con số lan truyền trên mạng xã hội chưa được kiểm chứng, nên bài này không trích.

Diễn biến:

  • 21:13 UTC ngày 06/11: Web3Auth tạm dừng dịch vụ ví nhúng.
  • 04:38 UTC ngày 07/11: Keplr cảnh báo công khai đầu tiên, xác nhận đã nhận báo cáo giao dịch trái phép và đang điều tra cùng Web3Auth.
  • Sau đó trong ngày 07/11: hai bên mô tả đã whitehat recovery các ví còn nguy cơ nhưng chưa bị tấn công.

Nguyên nhân kỹ thuật chi tiết chưa được công bố. Keplr khuyên người dùng có thể bị ảnh hưởng: đừng nạp thêm tiền vào tài khoản đó, đừng import lại hay tạo lại tài khoản, và chỉ theo dõi thông báo chính thức.

Bài học: ví đăng nhập mạng xã hội tiện, nhưng private key của bạn nằm trong tay bên thứ ba. Ví tự giữ seed phrase hoặc ví phần cứng vẫn là lựa chọn an toàn hơn cho số tiền lớn.

Nguồn:

  • Thông báo của Web3Auth và Keplr (06–07/11/2026)
  • The Defiant / HokaNews / CryptoAdventure (đưa tin 07/11/2026)