Keplr Wallet suspende el acceso con Google y Apple tras un fallo en Web3Auth

Si creaste tu Keplr Wallet con una cuenta de Google o de Apple, no ingreses dinero nuevo en ella por ahora. Keplr suspendió el inicio de sesión con Google y Apple el 6 de noviembre de 2026, después de que varios usuarios denunciaran transacciones no autorizadas. Según las empresas implicadas, el origen está en el proveedor Web3Auth, que genera para Keplr las claves de estas cuentas. Las cuentas con frase semilla propia y las vinculadas a una cartera de hardware no están afectadas, según la revisión preliminar de Keplr.

Keplr es una cartera multicadena centrada en el ecosistema Cosmos. La desarrolla la empresa Chainapsis. Muchos inversores la usan para guardar y hacer staking de monedas como ATOM, OSMO o INJ. El incidente afecta, por tanto, justo al grupo que quería configurar su cartera con la mayor comodidad posible: sin papel con 12 o 24 palabras, solo con un clic en «Iniciar sesión con Google».

Fallo en Keplr Wallet: lo que se sabe de las transacciones no autorizadas

Según un artículo de Crypto Adventure del 7 de noviembre de 2026, los usuarios denunciaron salidas de fondos en carteras creadas con inicio de sesión de Google o Apple. Keplr desactivó entonces el acceso a través de ambos servicios y abrió una investigación junto con Web3Auth. Josh Lee, cofundador de Chainapsis, calculó según la misma fuente que alrededor del 20 % de las cuentas con inicio de sesión social podrían estar afectadas, aunque solo una parte habría sido explotada.

Por ahora no hay una cifra de pérdidas confirmada. Ni Keplr ni Web3Auth han cuantificado el número de cuentas afectadas ni el valor de las monedas sustraídas. Las estimaciones que circulan en redes sociales difieren mucho y ninguna de las dos empresas las ha confirmado. Lo único fiable hasta ahora es la distinción según cómo se creó cada cuenta.

Según Crypto Adventure, Lee subrayó además que el fallo no está en el código de la propia aplicación de Keplr. Para los afectados eso cambia poco, pero explica por qué Keplr no controla en solitario la recuperación.

Web3Auth pausa sus carteras integradas: la reacción del 6 de noviembre

El 6 de noviembre, Web3Auth confirmó un incidente de seguridad que afecta a servicios utilizados por algunos proveedores externos. La empresa suspendió temporalmente su servicio de las llamadas carteras integradas (embedded wallets). Una cartera integrada es la que una aplicación incorpora directamente en su propia oferta, de modo que el usuario no necesita un programa de cartera aparte ni su propia frase de recuperación.

Tras una primera investigación, Web3Auth afirma no haber encontrado indicios de que los usuarios de MetaMask estén afectados. La aclaración tiene su motivo: según Crypto Adventure, Web3Auth pertenece desde 2025 a Consensys, el desarrollador de MetaMask. Quien usa MetaMask de la forma clásica, con frase semilla propia, no está afectado por este incidente según todo lo que se sabe hasta ahora.

Inicio de sesión social con Google y Apple: cómo crea Keplr la clave sin frase semilla

En esencia, una cartera es una clave privada. Quien la conoce puede disponer de las monedas. En una cartera clásica, el dispositivo del usuario genera esa clave y la muestra como frase semilla, es decir, una secuencia de 12 o 24 palabras a partir de la cual se puede volver a obtener la clave en cualquier momento.

Con el inicio de sesión social funciona de otra manera. Según la documentación de Keplr que cita una noticia de KuCoin News del 7 de noviembre, Web3Auth genera la clave privada de las cuentas con acceso de Google en lugar de una frase semilla. Web3Auth trabaja con generación distribuida de claves: la clave se divide en partes que se guardan en distintos lugares y solo vuelven a funcionar juntas al iniciar sesión. El usuario no ve nada de esto; simplemente entra con su cuenta de Google o de Apple.

Esa comodidad tiene un precio. La seguridad de la cuenta ya no depende solo del usuario, sino también de la infraestructura del proveedor. Si allí falla una pieza o sufre un ataque, el usuario no puede hacer nada, por mucho cuidado que ponga en proteger su cuenta de Google.

Causa según Web3Auth: un fallo de infraestructura dejó expuestas claves privadas

El 7 de noviembre, según KuCoin News, Web3Auth señaló por primera vez una causa: una vulnerabilidad en su propia infraestructura que provocó la filtración de claves privadas. Estarían afectados algunos usuarios que habían iniciado sesión con Google o Apple. Ninguna de las dos empresas ha explicado todavía cómo aprovecharon exactamente los atacantes el fallo. Web3Auth anunció que dará más detalles en cuanto termine la recuperación de los fondos.

Lo que se sabe basta para situar el incidente. Quien tiene la clave privada de una cartera no necesita contraseña ni la confirmación del propietario. Una salida de fondos así tampoco se puede revertir con una devolución, porque las transacciones en una blockchain son definitivas.

Transferencias de protección en Keplr: por qué un saldo puede estar vacío sin atacante

Un detalle está generando confusión entre los afectados. Según KuCoin News, Web3Auth y sus socios empezaron a poner a salvo fondos de carteras que aún no habían sido atacadas pero estaban en riesgo. Para ello usaron, según sus propias palabras, la misma vía que el atacante original. Keplr advirtió por eso de que algunas cuentas con acceso de Google o Apple pueden mostrar un saldo reducido o vacío tras ese rescate.

Una cuenta vacía no significa automáticamente que las monedas hayan sido robadas. Según la noticia, Web3Auth está elaborando una lista verificada de las direcciones a las que se enviaron los fondos rescatados. Así, los usuarios y los equipos de las blockchains afectadas podrán distinguir las transferencias de rescate legítimas de las transacciones del atacante. Web3Auth pidió que nadie atribuya a la ligera una dirección de destino desconocida al atacante.

Keplr afirma además que trabaja con Web3Auth en una herramienta para que los usuarios comprueben por sí mismos si su cuenta está afectada. Todavía no hay fecha.

Cosmos, Injective y Osmosis: en qué blockchains se detectaron salidas

Según Crypto Adventure, investigadores de la comunidad rastrearon movimientos sospechosos con Injective (INJ), Osmosis (OSMO) y Cosmos Hub (ATOM). Encaja con el perfil de una cartera que se usa sobre todo en el ecosistema Cosmos. Ni Keplr ni Web3Auth han publicado una lista oficial de las redes afectadas.

Si tienes Cosmos (ATOM) o Injective (INJ), lo importante es dónde están tus monedas. Las que guardas en un exchange o en una cartera con frase semilla propia no se ven afectadas por este incidente. Si quieres ver qué aplicaciones de cartera funcionan sin ningún servicio de claves de terceros, consulta nuestra comparativa de wallets de software.

Cómo protegerte tras el ataque a Web3Auth contra las wallets con inicio de sesión social

Qué ha pasado: el 6 de noviembre de 2026, usuarios de Keplr denunciaron transacciones no autorizadas en carteras creadas con inicio de sesión de Google o Apple a través de Web3Auth. Web3Auth atribuye el incidente a un fallo en su infraestructura que dejó expuestas claves privadas. A 7 de noviembre no hay una cifra de pérdidas confirmada.

¿Estás afectado? Puedes estarlo si creaste una cuenta de Keplr con «Iniciar sesión con Google» o «Iniciar sesión con Apple». Si creaste tu Keplr Wallet con una frase semilla o la vinculaste a una cartera de hardware, no estás afectado según la revisión preliminar de Keplr. Por ahora, la única forma de saber si una cuenta concreta con acceso social ha sido atacada es revisar el saldo y las transacciones en un explorador de bloques.

1. Ningún ingreso: no envíes dinero nuevo ni recompensas de staking a una cuenta de Keplr con acceso de Google o Apple hasta que Keplr reactive el servicio.
2. Mover el saldo restante: crea en Keplr o en otra cartera una cuenta nueva con frase semilla propia y traslada allí las monedas disponibles, tal y como recomienda Keplr a los afectados.
3. Sin reimportar: no importes la cuenta con acceso social en otra aplicación ni la vuelvas a crear mientras dure la investigación.
4. Ignorar a los falsos rescatadores: no respondas a ningún mensaje directo que ofrezca recuperar tus monedas y no introduzcas nunca una clave o una frase semilla en ningún sitio.
5. Esperar la lista de direcciones: si tu cuenta muestra un saldo vacío, compara la dirección de destino con la lista de rescate anunciada por Web3Auth antes de dar por hecho un robo.

Nuestra guía cómo guardar criptomonedas de forma segura explica los fundamentos de una custodia segura, y la comparativa de carteras de hardware recoge los dispositivos adecuados.

Frase semilla o cartera de hardware: estas cuentas de Keplr no se ven afectadas

En una cartera con frase semilla, la clave privada se crea en el dispositivo del usuario y nunca sale de él. Ningún proveedor guarda una parte. Una cartera de hardware va un paso más allá: es un pequeño dispositivo propio que almacena la clave y firma cada transacción por sí mismo, de modo que la clave ni siquiera llega al ordenador o al móvil.

Esa separación explica por qué el incidente de Web3Auth solo afecta a las cuentas con inicio de sesión social. La otra cara: quien pierde la frase semilla pierde el acceso para siempre, y nadie puede ayudarle. Por eso, una copia en papel o una placa metálica grabada en un lugar seguro forma parte de toda cartera con clave propia.

Staking en Keplr: las monedas bloqueadas retrasan el rescate

Muchos usuarios de Keplr hacen staking con sus monedas, es decir, las delegan en un validador para obtener recompensas. En el ecosistema Cosmos, las monedas en staking no se pueden mover de inmediato: retirarlas conlleva un periodo de espera. Según KuCoin News, Keplr señaló que los saldos en staking y bloqueados hacen el rescate más complicado y más lento.

Para los afectados, esto significa que las monedas disponibles se pueden trasladar a una cuenta segura siguiendo el consejo de Keplr, pero las bloqueadas no tan fácilmente. Si tienes posiciones en staking en una cuenta con acceso social, sigue los avisos de Keplr en su cuenta oficial de X, por la que la cartera dice difundir novedades verificadas.

Phishing tras el incidente de Keplr: falsos ayudantes en mensajes directos

Tras cada incidente importante aparecen estafadores que se hacen pasar por soporte técnico o por un servicio de rescate. Keplr advirtió expresamente contra ofertas de recuperación no solicitadas, mensajes de soporte falsos y enlaces que prometen devolver monedas robadas. Ningún proveedor serio pide una frase semilla o una clave privada.

La vía segura pasa siempre por la web oficial o la cuenta oficial del proveedor, que abres tú mismo, nunca por un enlace que te envíen. Una oferta de rescate real de Keplr o de Web3Auth se anunciaría públicamente y no se repartiría por mensaje privado.

Keplr tras Web3Auth: dinero nuevo solo en cuentas con frase semilla propia

A 7 de noviembre no se ha anunciado ningún reembolso ni fecha para el regreso del inicio de sesión social. Hasta que Keplr presente una herramienta de comprobación y Web3Auth publique la lista de direcciones, la vía segura es trasladarse a una cuenta con clave propia. Tres pasos te llevan hasta ahí:

1. Elegir un dispositivo: para saldos mayores, una cartera de hardware ofrece la máxima protección; los modelos compatibles con Cosmos están en la comparativa de carteras de hardware.
2. App de cartera con frase semilla: para importes pequeños basta una cartera de software en la que generes tú mismo la frase de recuperación; los proveedores están en la comparativa de wallets de software.
3. Separar el trading: las monedas que quieras negociar deben estar en un exchange autorizado según el reglamento europeo MiCA; la comparativa de exchanges cripto regulados ofrece una visión general.

(7 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)