Keplr setzte die Anmeldung über Google und Apple aus, nachdem eine Schwachstelle in der Infrastruktur des externen Authentifizierungsanbieters Web3Auth die privaten Schlüssel einiger mit Social-Login erstellter Wallets offengelegt hatte. Der Vorfall ereignete sich am 6. und 7. November und wurde nicht auf den eigenen Wallet-Code von Keplr zurückgeführt. Keplr-Mitgründer Josh Lee schätzte, dass etwa 20 % der Konten mit diesen Anmeldeoptionen betroffen sein könnten; ausgenutzt worden sei jedoch nur ein Teil davon. Bei Konten, die mit einer Wiederherstellungsphrase oder einer Hardware-Wallet erstellt wurden, wurde keine vergleichbare Kompromittierung gemeldet.
Das Blockchain-Analyseunternehmen Bitquery identifizierte Transaktionen mit mehr als 44.000 Wallets im Cosmos-Ökosystem sowie 7.603 Injective-Adressen. Nach Berücksichtigung von Überschneidungen schätzte es die Zahl der unterschiedlichen Wallets auf rund 44.700. Bitquery verfolgte Abflüsse von etwa 6,01 Millionen Dollar, davon rund 3,5 Millionen Dollar im Zusammenhang mit Cosmos Hub. Die Auswertung umfasste außerdem 1,96 Millionen gestakte ATOM, die ohne die übliche 21-tägige Entbindungsfrist bewegt wurden. Laut Bitquery fanden 86 % der erfassten Abflüsse auf den verknüpften Netzwerken nach Keplrs erster Warnung am 7. November statt. Bewegungen auf der Blockchain allein belegen jedoch nicht, dass sämtliche übertragenen Vermögenswerte bei Angreifern landeten.
Web3Auth widerspricht der Darstellung, 6,01 Millionen Dollar seien gestohlen worden. Ein Teil der in der Schätzung erfassten Transaktionen seien „Whitehat“-Rettungsaktionen des Unternehmens und seiner Partner gewesen, bei denen Gelder an bestätigte Adressen verschoben wurden. Da diese Maßnahmen ähnliche technische Wege wie der Angriff nutzten, konnten Rettungstransaktionen auf der Blockchain wie unbefugte Abflüsse aussehen. Am 8. November veröffentlichte Web3Auth eine Liste bestätigter Wiederherstellungsadressen für elf Cosmos-basierte Netzwerke und acht EVM-kompatible Chains. Die endgültige Schadenssumme, die Zahl der betroffenen Konten und die Höhe der wiederherstellbaren Gelder sind weiterhin unbekannt; auch die genaue technische Ursache haben die Unternehmen nicht erläutert. Web3Auth pausierte seinen eingebetteten Wallet-Dienst. Keplr riet betroffenen Nutzern, keine weiteren Gelder auf Social-Login-Wallets einzuzahlen und verbliebene liquide Vermögenswerte auf Konten mit Wiederherstellungsphrase oder Hardware-Wallet zu übertragen. Beide Unternehmen warnten vor nicht offiziellen Wiederherstellungsangeboten.