暗号資産（仮想通貨）のウォレットアプリ「Keplr（ケプラー）」を、GoogleアカウントやAppleアカウントを使って作成した利用者の一部が、攻撃者に資金を盗まれる被害に遭いました。Keplrと、そのログインの仕組みを提供している「Web3Auth」の両社が、先週末に明らかにしました。
通常、暗号資産のウォレットを作るには、「シードフレーズ（回復フレーズ）」と呼ばれる長い単語の並びを自分で厳重に保管する必要があります。これは初心者には難しいため、Keplrなどでは「Googleでログイン」「Appleでログイン」のような、なじみのある方法でウォレットを作れる仕組みを用意しています。その裏側を担っているのがWeb3Authという外部の会社で、今回の攻撃者は、このWeb3Auth側にあった脆弱性（セキュリティ上の欠陥）を突いてウォレットにたどり着いたとされています。
注目すべきは、その後の対応です。報道によると、Web3Auth側は被害の拡大を防ぐため、同じ仕組みで作られた他のウォレットの資金を、安全のためにいったん別の場所へ移す（中身を空にする）措置を取りました。攻撃者に先回りして資金を避難させた形ですが、利用者から見ると「自分のウォレットが突然空になった」ように見える可能性があります。
今回の件は、「便利なログイン方法」の裏で、ウォレットの安全性が外部企業の仕組みに左右されていることを示しています。自分でシードフレーズを管理しなくてよい手軽さと引き換えに、その会社に問題が起きれば、利用者がいくら気をつけていても被害を防げない場合があるのです。
KeplrをGoogleやAppleのアカウントで作成した人は、Keplr・Web3Authの公式発表を確認し、残高や取引履歴に異常がないかを確かめてください。資金が移されている場合も、慌てて第三者の「復旧サービス」に連絡せず、必ず公式の案内に従うことが大切です。こうした事件の直後は、被害者を狙った詐欺が増える傾向があります。