Keplr e LNbits sotto attacco: Web3Auth espone chiavi private, mentre i server Bitcoin Lightning vengono spenti

🛡️ Executive Summary

• Web3Auth espone le chiavi private di alcuni wallet Keplr. La vulnerabilità interessa account creati attraverso Google o Apple, mentre i portafogli configurati direttamente con recovery phrase o dispositivi hardware non risultano coinvolti.
• Web3Auth trasferisce circa 5,6 milioni di dollari per proteggere gli utenti. I fondi sono stati spostati verso dodici indirizzi di recupero: non rappresentano automaticamente criptovalute rubate dagli aggressori.
• LNbits ordina lo spegnimento immediato dei server. Dopo una serie di attacchi, il progetto sospende anche il proprio servizio cloud mentre prepara aggiornamenti di sicurezza.
• Un operatore LNbits denuncia il furto di 2.285.545 satoshi. Il caso riguarda l’applicazione utilizzata per i wallet Lightning, non una compromissione dimostrata del protocollo Bitcoin.

Due incidenti di sicurezza colpiscono contemporaneamente infrastrutture utilizzate per gestire criptovalute, mettendo in discussione l’affidabilità dei servizi che collegano gli utenti ai propri fondi digitali. Da una parte Web3Auth, piattaforma di autenticazione appartenente a Consensys, conferma una vulnerabilità che ha esposto le chiavi private di alcuni portafogli Keplr creati attraverso account Google e Apple; dall’altra LNbits, sistema open source per la gestione di wallet e pagamenti sulla Bitcoin Lightning Network, chiede agli operatori di spegnere immediatamente i server dopo una serie di attacchi. Nel primo caso, Web3Auth ha avviato un’operazione preventiva per trasferire circa 5,6 milioni di dollari verso indirizzi sicuri. Nel secondo, un gestore denuncia il prelievo non autorizzato di 2.285.545 satoshi. Le compromissioni non risultano collegate, ma evidenziano un problema comune: anche quando una blockchain continua a funzionare correttamente, i servizi che amministrano chiavi, identità e pagamenti possono diventare il punto debole dell’intero sistema.

Web3Auth compromette la sicurezza dei wallet Keplr creati con Google e Apple

L’incidente Keplr emerge il 6 novembre 2026, quando Web3Auth comunica di avere individuato un problema nella propria infrastruttura e sospende temporaneamente il servizio di generazione dei wallet attraverso autenticazione sociale. Secondo il cofondatore di Keplr Josh Lee, la vulnerabilità non riguarda il codice principale del wallet, ma il provider esterno utilizzato per consentire l’accesso tramite account Google e Apple. Le chiavi private di alcuni portafogli creati con questa modalità sarebbero diventate accessibili a soggetti non autorizzati. Lee stima che circa il 20% degli account Keplr basati su social login possa essere coinvolto, precisando che soltanto una parte sarebbe stata effettivamente sfruttata dagli aggressori. I wallet generati direttamente mediante recovery phrase o protetti da dispositivi hardware non risultano interessati da questo specifico problema. La compromissione richiama il precedente attacco a Qubic, dove la debolezza nella generazione dei seed aveva consentito di svuotare 1.404 portafogli: il rischio non nasce necessariamente dal protocollo blockchain, ma dai meccanismi attraverso i quali vengono create e custodite le credenziali crittografiche.

Cinque milioni e seicentomila dollari vengono trasferiti per anticipare gli hacker

Web3Auth ha scelto di utilizzare il medesimo percorso tecnico sfruttato dagli aggressori per trasferire preventivamente i fondi dei wallet ancora esposti verso indirizzi di recupero controllati dall’azienda. Secondo la ricostruzione pubblicata da The Block, dodici indirizzi dichiarati dall’operatore custodivano circa 5,6 milioni di dollari alla data dell’8 novembre. L’operazione ha generato confusione nelle prime analisi blockchain: Bitquery aveva inizialmente segnalato circa sei milioni di dollari trasferiti da decine di migliaia di wallet, attribuendo otto indirizzi a un presunto attaccante. Gli stessi indirizzi sono successivamente comparsi nell’elenco ufficiale dei wallet di recupero Web3Auth. Non è quindi corretto presentare i 5,6 milioni come un furto accertato, perché rappresentano in larga parte fondi trasferiti per proteggerli. Web3Auth riconosce tuttavia l’esistenza di un aggressore precedente all’intervento e non ha ancora fornito una quantificazione definitiva delle perdite. L’episodio dimostra quanto sia importante verificare l’effettiva titolarità degli indirizzi prima di attribuire ogni movimento sospetto a un’operazione criminale.

LNbits ordina di spegnere i server dopo una serie di attacchi

Mentre proseguono le verifiche su Keplr, il progetto LNbits lancia l’8 novembre un avviso di sicurezza particolarmente grave. Alle 12:33 UTC, gli sviluppatori chiedono inizialmente di disattivare Paywall, un’estensione utilizzata per richiedere pagamenti prima di consentire l’accesso ai contenuti digitali. Circa 80 minuti dopo, l’allarme viene esteso a tutti gli operatori, invitati a spegnere immediatamente i server LNbits mentre vengono preparate diverse correzioni di sicurezza. Il progetto sospende inoltre tutte le istanze del proprio servizio gestito my.lnbits.com, annunciando un possibile ripristino entro 24 ore. Alle 09:00 UTC del 9 novembre non risultavano ancora rilasciate patch correttive né indicazioni per stabilire autonomamente se un server fosse stato compromesso. Lo sviluppatore Ben Arc aveva stimato una finestra di 24-48 ore per la distribuzione delle correzioni, senza garantire una data definitiva. L’avviso riguarda LNbits, non impone lo spegnimento indiscriminato dei nodi Lightning e non dimostra una vulnerabilità generale di Bitcoin.

BitTipBot perde 2.285.545 satoshi attraverso account creati dagli aggressori

Un episodio documentato coinvolge Kevin Ravensberg, gestore del servizio BitTipBot, un bot Telegram che utilizza LNbits per amministrare pagamenti e disponibilità degli utenti. Secondo la sua ricostruzione, gli aggressori avrebbero creato nuovi account sfruttando una vulnerabilità che permetteva di effettuare prelievi non autorizzati. L’attacco sarebbe iniziato alle 09:22 UTC dell’8 novembre, oltre tre ore prima del primo avviso pubblico, proseguendo fino alle 14:00 UTC. Il danno denunciato ammonta a 2.285.545 satoshi, equivalenti a circa 0,0229 BTC. Ravensberg ha promesso di rimborsare gli utenti, che nel frattempo non possono accedere ai propri fondi attraverso il servizio interessato. Successivamente ha comunicato che Ben Arc e un gruppo di ricercatori avevano individuato l’estensione utilizzata nell’attacco, senza però divulgarne il nome. Non è stato confermato pubblicamente che la vulnerabilità sfruttata su BitTipBot coincida con quella inizialmente sospettata nell’estensione Paywall, né sono disponibili dati affidabili sul numero complessivo dei server compromessi. La situazione si distingue dal precedente allarme su Core Lightning e sui nodi non aggiornati, che riguardava un componente differente dello stack Lightning.

Keplr e LNbits mostrano due punti deboli distinti nella custodia delle criptovalute

La differenza fra i due incidenti è sostanziale. Keplr subisce le conseguenze di una compromissione delle chiavi private attraverso un provider di autenticazione, mentre LNbits affronta attacchi contro il software che gestisce account e pagamenti Lightning. Nel primo caso, l’accesso alle credenziali crittografiche permette di disporre direttamente dei fondi; nel secondo, il rischio riguarda l’autorizzazione delle operazioni all’interno di un servizio che amministra disponibilità e pagamenti. Gli utenti Keplr che hanno creato il wallet tramite Google o Apple devono evitare nuovi depositi, verificare le comunicazioni ufficiali e trasferire eventuali asset residui verso portafogli sicuri secondo le indicazioni del progetto. Gli amministratori LNbits devono invece mantenere i server spenti fino alla pubblicazione delle correzioni e di istruzioni esplicite per il riavvio, consultando le release ufficiali su GitHub. In entrambi i casi è fondamentale diffidare di falsi servizi di recupero, come già osservato negli attacchi alle estensioni wallet che sottraggono seed phrase e chiavi private. La sicurezza delle criptovalute non dipende soltanto dalla blockchain, ma dall’intera catena di fiducia che collega chiavi, applicazioni, autenticazione e infrastrutture di pagamento.