Google 또는 Apple 계정으로 생성된 일부 Keplr 지갑의 개인키가 외부에 노출됐다. Web3Auth와 Keplr은 회수 가능한 자산을 복구 주소로 이전했으나, 공격자가 실제로 탈취한 금액은 아직 공개되지 않았다.
Web3Auth 인프라에서 발생한 보안 취약점으로 인해 Google 또는 Apple 소셜 로그인으로 생성된 일부 Keplr 지갑의 개인키가 노출됐다. 2026년 11월 6일부터 8일 사이. 일부 사용자들이 무단 거래를 신고하는 동안 Web3Auth는 복구 목적으로 통제된 주소로 보호 이전을 시작했다고 밝혔다. Web3Auth는 Keplr과 협력해 사용자에게 자산을 반환하기 위한 작업을 진행 중이라고 전했다.
이번 사건은 지갑 코드나 블록체인 자체의 취약점이 아니라, 소셜 로그인 연동 서비스 인프라에서 발생한 문제다. The Block이 인용한 Keplr 공동 창업자에 따르면. Google 또는 Apple로 생성된 Keplr 계정의 약 20%가 영향을 받았을 가능성이 있다. 단, 복구 구문(시드 구문) 또는 하드웨어 지갑으로 생성된 계정은 이번 사고와 무관하다고 회사 측은 명확히 밝혔다.
어떤 자산이, 어디로 이전됐나
Web3Auth는 복구 목적지로 지정된 12개의 주소 목록을 공개했다. The Block이 11월 8일 확인한 시점을 기준으로. CoinGecko 데이터를 통해 추산된 해당 주소들의 보유 암호화폐 가치는 약 560만 달러에 달했다. 이 수치는 온체인에서 관측된 잔액의 스냅숏이며, 공격으로 인한 손실 추정치가 아니다.
Bitquery의 별도 분석에서는 초기에 두 개의 주소가 수만 개의 지갑으로부터 약 601만 달러를 수신한 것으로 파악됐다. 이후 Bitquery는 해당 두 주소 모두 Web3Auth가 공개한 복구 목적지 목록에 포함돼 있다는 사실을 확인했다. Bitquery는 해당 주소의 실제 통제 주체를 검증할 수 없으며. 공격자가 다른 목적지로 빼돌린 지갑은 자사 집계에 포함되지 않는다고 경고했다.
두 수치는 직접 비교하기 어렵다. The Block은 자체 확인 시점에 12개 복구 주소에서 약 560만 달러를 관측했고. Bitquery는 다른 시점과 거래 범위를 기준으로 약 601만 달러를 산출했다. 초기에 탈취로 해석된 일부 이동은 Web3Auth의 복구 작업과 연관된 것으로 나중에 밝혀졌다.
공격자가 대응 조치 이전에 실제로 얼마를 탈취했는지는 여전히 불명확하다. Web3Auth는 언론 보도를 통해 “최초 공격자”를 언급했지만, 총 피해액을 발표하거나 해당 인물 또는 집단의 주소를 공개적으로 특정하지는 않았다.
Web3Auth가 Keplr 로그인에 관여한 방식
Keplr은 복구 구문 방식 외에도, 일부 계정에 한해 Google 또는 Apple을 통한 소셜 로그인으로 지갑을 생성할 수 있도록 지원한다. 이 경우 로그인 처리와 키 생성은 임베디드 지갑 인프라 제공업체인 Web3Auth가 담당한다. 개인키는 거래를 승인하는 핵심 요소이므로, 이것이 노출되면 보유자는 연결된 자산을 마음대로 서명하고 이동시킬 수 있다.
블록체인은 거래를 기록하지만, 그 거래를 누가 승인했는지, 혹은 이전이 공격자에 의한 것인지 복구 팀에 의한 것인지를 자체적으로 설명하지 않는다. Bitquery에 따르면, 일부 이전 거래는 Web3Auth의 첫 번째 공개 발표 이전에 이미 시작됐으며, 해당 주소들은 이후 복구 목적지로 목록화됐다. 타임스탬프만으로는 각각의 움직임을 특정 주체에 귀속시키기 어렵다.
Keplr은 Google 및 Apple 로그인을 일시 중단하고, 소셜 계정 사용자에게 추가 자금 예치를 삼가도록 권고했다. 소셜 로그인 계정과 복구 구문 또는 하드웨어 지갑으로 생성된 계정을 명확히 구분하며. 후자는 이번 사건에 영향을 받지 않는다고 밝혔다. 취약점의 기술적 원인, 최종 피해 계정 수, 자산 반환 절차에 대한 완전한 정보는 현재까지 공개된 보고서에서 확인되지 않는다.
아직 해명되지 않은 세 가지 문제
사실, 이번 사건은 세 가지 운영상의 의문점을 남긴다. 첫째는 Web3Auth 인프라에서 취약점이 발생한 원인과 개인키가 노출된 경위다. 둘째는 사용자, 가능한 공격자, 그리고 대응 팀 각각이 이전한 자산의 최종 집계다. 셋째는 반환 절차로, Web3Auth는 Keplr과 함께 복구 경로를 마련 중이라고 밝혔지만, 현재까지 확인된 보고서에는 구체적인 일정이나 개인별 절차가 아직 기술되지 않았다.
복구 목적지로 공개된 주소들은 온체인에서 확인 가능하지만, 해당 잔액이 환불 완료를 의미하지는 않는다. 사용자에게 반환되기 전까지 해당 자산은 별도의 주소에 보관되며, 접근 가능성은 관련 주체들이 채택한 보관 및 이전 방식에 달려 있다.
한국 투자자에게 미치는 영향
공개된 정보에는 피해 계정의 지역별 분포가 나타나 있지 않아, 국내 사용자 중 피해를 입은 인원을 특정할 수 없다. 금융감독원(FSS)이나 DAXA도 현재까지 이번 사건과 관련한 공식 입장을 내놓지 않았다. 위험 여부는 지갑 생성 방식에 따라 결정된다. Keplr의 공지는 Google 또는 Apple 소셜 로그인으로 설정된 계정에 적용되며, 복구 구문이나 하드웨어 지갑으로 설정된 계정은 이번 사고에서 제외된 것으로 명시됐다. Upbit, Bithumb 등 국내 거래소 계정은 이번 취약점과 직접적인 관련이 없지만, Keplr 지갑을 연동해 사용하는 DeFi 사용자라면 자신의 지갑 생성 방식을 즉시 확인할 필요가 있다.
키 취약점과 개인정보 유출의 차이는 최근 Keystone 사건에서도 부각된 바 있습니다. Keplr 사용자는 공식 채널에서 발표되는 업데이트만 참고하고, 자신의 계정에 맞는 구체적인 안내를 따르는 것이 중요합니다. 현 시점에서는 자금 회수를 약속하거나 개인 키, 복구 구문, 선불 결제를 요청하는 미확인 메시지를 각별히 경계해야 합니다. 현재까지 수집된 어떤 독립적 정보도 외부 행위자가 환불을 앞당길 수 있다는 사실을 뒷받침하지 않습니다. 표적형 피싱 시도는 SafePal 고객 피해 사례와 이탈리아 사용자가 연루된 Trezor 데이터 유출 이후에도 반복적으로 기록된 바 있습니다.
Web3Auth와 Keplr 요약
확인된 사실과 아직 검증이 필요한 사항
- 확인됨: Web3Auth의 취약점으로 인해 Google 또는 Apple 로그인으로 생성된 일부 Keplr 지갑의 키가 노출되었으며, 복구 주소로의 이체가 개시되었습니다.
- 미확인: 완전한 기술적 원인, 피해 계정의 최종 수, 공격자에게 귀속 가능한 손실 규모.
- 추적 필요: 사용자 환불 계획 및 복구 이체 내역에 대한 상세 보고.
더 넓은 시각
이번 사건은 소셜 로그인 기반 지갑의 구조적 취약 지점을 드러낸다는 것이 본지의 판단입니다. 편리한 사용자 경험이 키 관리에 관여하는 외부 인프라에 의존하는 구조를 만들어낼 수 있습니다. 이는 크립토 공격 전문 섹션에서 다룬 상업적 데이터 유출과는 성격이 다른 위험이지만. 두 경우 모두 디지털 자산 보관을 둘러싼 주변 서비스의 중요성을 보여줍니다. 로그인의 편의성은 트랜잭션 서명 과정을 보호해야 할 필요성을 대체하지 않습니다. 다만 현재로서는 모든 기술적 단계를 공개적으로 재구성하거나 모든 이체를 확실하게 귀속시키는 것은 불가능한 상태입니다.
긴급 대응 조치는 온체인 데이터 해석을 더욱 복잡하게 만들었습니다. Web3Auth는 취약한 지갑에 남아 있는 자산을 보호하기 위해 공격자와 동일한 기술 경로를 활용했다고 밝혔습니다. 따라서 비정상적인 이체 하나만으로 도난 여부를 단정할 수 없습니다. 검증된 주소 목록, 전체 타임라인, 그리고 실제 반환된 자금에 대한 명확한 보고서가 필요합니다.
