撰文：Sam，Techub News

导语

这个周末的三件事，问的都是同一个问题：你信任的那一层，到底靠不靠得住。

用谷歌或苹果账号一键创建的 Keplr 钱包，私钥由第三方服务 Web3Auth 托管生成，结果这一层出了漏洞；孙宇晨三年前被 SEC 起诉的名人推币案今年 3 月才以 1000 万美元和解收场，一位自称当年中间商的人又把「报价单和发票」翻了出来；英伟达创始人黄仁勋周日向全体员工承认婚外情，董事会同日宣布成立独立委员会，调查他是否成了外国情报行动的目标。

核心摘要

• Web3Auth 承认其基础设施的安全问题导致部分 Keplr 谷歌、苹果登录钱包私钥外泄，已暂停嵌入式钱包服务；Keplr 暂停社交登录，助记词和硬件钱包用户不受影响。
• Web3Auth 称已用「原攻击者的同一路径」抢先转移资产，并公布 12 个回收地址，据 The Block 统计约存有 560 万美元；被攻击者实际偷走多少，双方都未披露。
• Sahil Arora 在 X 上称，2021 至 2022 年孙宇晨经他之手支付超过 400 万美元，让名人推广 TRX 和 BTT，并贴出所谓群聊与发票截图；这些材料尚未经独立核实，孙宇晨暂未回应。
• 英伟达董事会宣布由独立董事组成委员会、聘请外部律师展开独立调查；黄仁勋在致员工信中承认不忠并致歉，表示支持调查。董事会称没有理由认为国家安全或公司机密受损，并表示信任黄仁勋。

一、一键登录钱包：私钥不在你手里，也不完全在服务商手里

Keplr 是 Cosmos 生态用户最多的钱包之一。和多数钱包一样，它提供两种开户方式：自己保管助记词，或者用谷歌、苹果账号一键登录。后一种不给助记词，私钥由 Web3Auth 的分布式密钥技术生成，分片保存在用户设备、登录服务商和恢复方式几处。卖点是用户不用抄 12 个单词。

问题出在 Web3Auth 这一层。北京时间 11 月 7 日凌晨，Web3Auth 发布声明，称发现部分第三方使用的服务存在安全问题，已暂停嵌入式钱包服务，初步调查没有证据显示 MetaMask 用户受影响。Web3Auth 现归 Consensys 所有，产品已更名为 MetaMask Embedded Wallets。当天中午，Keplr 表示收到部分谷歌、苹果登录账户出现未授权交易的报告，暂停社交登录，提醒这类用户不要再往账户里转钱，用助记词或硬件钱包开户的用户不受影响。下午，Polygon 首席信息安全官 Mudit Gupta 在 X 上直接喊话：用谷歌或苹果登录过 Keplr 的人，能转就赶紧转走。

8 日凌晨，Web3Auth 确认是自家基础设施的安全问题，影响 Keplr 使用的部分嵌入式钱包。接下来的处置让局面变得更乱：Web3Auth 说，它和合作方沿着「原攻击者的同一路径」，对尚未被盗、但已暴露的钱包做白帽转移。于是不少用户打开钱包，看到余额变少甚至清零，却分不清是被偷了还是被「救」走了。Keplr 也提醒，部分账户余额减少正是这些保护措施造成的。

8 日下午，Web3Auth 公布了回收地址：Cosmos Hub、Osmosis、Celestia、Akash、Noble、Injective、dYdX、Babylon、Axelar、Saga、Agoric 11 条 Cosmos 链各一个，外加一个覆盖 8 条 EVM 链的地址。据 The Block 统计，这 12 个地址当时约存有 560 万美元，大头是 Cosmos Hub 上约 249 万枚 ATOM；链上数据服务 Bitquery 此前标记的 8 个「黑客地址」，全部在这份回收名单里。Bitquery 统计有超过 4.4 万个 Keplr 钱包的资产被归集、合计约 600 万美元，这个数字里既有被盗的，也有被转移保护的。

真正被偷了多少，至今没有答案。Web3Auth 提到了「原攻击者」，说明有钱包在白帽行动前已经被盗，但它没有披露金额；Keplr 联合创始人 Josh Lee 对 The Block 表示，约 20% 的社交登录账户暴露在风险中，实际被利用的只是少数。另一个没有答案的问题是：私钥暴露之后，用户要怎么证明自己是那笔被转走的资产的主人，拿回钱。Web3Auth 和 Keplr 只说正在制定方案。

二、孙宇晨推币旧案：和解之后，前中间商开始翻旧账

Sahil Arora 在币圈以操盘名人代币闻名。11 月 8 日清晨，他在 X 上预告要讲「阁下」的故事，当晚发出长帖：2021 至 2022 年，孙宇晨通过他支付了超过 400 万美元，请名人在社交媒体上推广 TRX 和 BTT，每次价格拉升后再分批卖出手中的代币。按他的说法，孙宇晨先向他要了明星报价单，再拉了一个包括「Tron Alliance/Rainberry」和孙宇晨核心团队成员的工作群，由团队挑选艺人、他开发票，款项用 TRC20 上的 USDT 结算。他还贴出了聊天记录和发票截图，并称孙宇晨参与持有的 NFT 平台 FansForever 被用来对倒刷量。

这些说法对应的正是美国证监会 2023 年 3 月那起诉讼。当时 SEC 指控孙宇晨及其旗下三家公司未经注册发售 TRX 和 BTT，通过大量对倒交易操纵 TRX 二级市场，并同时起诉 Lindsay Lohan、Jake Paul、Akon 等 8 名名人推广代币却未披露收了钱。孙宇晨当时称指控毫无根据。

这起案子今年 3 月以和解收场：Tron 关联公司 Rainberry 支付 1000 万美元民事罚款，SEC 撤回对孙宇晨本人、Tron Foundation 和 BitTorrent Foundation 的全部指控，孙宇晨不承认也不否认原指控。所以 Sahil 爆出的内容，即便属实，也是一桩已经和解的旧案里的细节。

需要分清的是：Sahil 的截图目前只是他单方面公布的材料，尚未经过独立核实；他本人就是当年这门生意的参与者，这几天还在接连点名其他项目方。截至发稿，孙宇晨没有公开回应。

三、黄仁勋：一封道歉信，一场独立调查

11 月 8 日（美国时间周日），英伟达官网先后发了两份声明。

一份是黄仁勋致全体员工的邮件。他写道：「我对妻子不忠。我的行为伤害了她和我们的孩子。我所做的一切没有借口，我深感抱歉。」信里没有提对方是谁。谈到媒体报道中的国家安全疑虑，他说董事会已启动独立调查，他支持并会全力配合，「我爱我们的国家，也爱我们的公司」。

另一份来自董事会：鉴于近期有报道称黄仁勋是外国情报行动的目标，董事会启动独立调查，由独立董事组成的委员会在外部独立律师协助下负责；董事会目前没有理由认为国家安全或英伟达的机密受到损害，但会审查所有可得信息，并表示对黄仁勋及其管理团队有信心。

两份声明之前，是一周的报道发酵。据 TechCrunch 和 Tom's Hardware 报道，美国情报部门认为，黄仁勋与新加坡芯片公司 Megaspeed 的前高管 Alice Huang（又名黄乐）有过恋爱关系，而今年早些时候在美国政策圈流传的一份备忘录称，此人被中国国家安全部招募，用来接近黄仁勋；Megaspeed 此前被指涉嫌走私价值约 20 亿美元的 AI 芯片。英伟达此前回应称两人的往来「并不罕见」，公司不会向客户分享机密信息。据报道，11 月 5 日美国众议院三个委员会的主席已要求黄仁勋就此做闭门说明。

对市场而言，这件事的分量在于黄仁勋本人。他是英伟达的创始人和唯一一任 CEO，也是英伟达在对华芯片出口问题上最常出面说话的人。董事会这次没有让他停职，英伟达表示他会继续领导公司。调查何时出结果、众议院的闭门说明怎么进行，是接下来要看的两件事；周一美股开盘后英伟达股价的反应，会是第一张市场的答卷。

参考资料

1. Keplr Wallet：关于谷歌、苹果登录账户未授权交易的声明（X，2026-11-07）

2. Keplr Wallet：What this means for Keplr users（X，2026-11-07）

3. Web3Auth：暂停嵌入式钱包服务的声明（X，2026-11-06）

4. Web3Auth：确认基础设施安全问题（X，2026-11-07）

5. Web3Auth：白帽回收行动说明（X，2026-11-07）

6. Web3Auth：回收地址清单（X，2026-11-08）

7. Mudit Gupta 的提醒（X，2026-11-07）

8. The Block：Web3Auth says it frontran hackers by moving $5.6 million out of exposed Keplr wallets

9. Sahil Arora 关于孙宇晨的长帖（X，2026-11-08）

10. US SEC drops Justin Sun lawsuit with $10M settlement from Rainberry（crypto.news）

11. NVIDIA：A Message to Our Company（2026-11-08）

12. NVIDIA：Statement from NVIDIA Board of Directors（2026-11-08）

13. TechCrunch：Nvidia will investigate CEO Jensen Huang's relationship with possible Chinese spy

14. Tom's Hardware：Nvidia CEO Jensen Huang admits to an affair with a suspected Chinese spy

编辑说明：文中时间除注明外均为北京时间。Keplr 事件的损失金额以 Web3Auth、Keplr 官方说法与 The Block、Bitquery 的统计为准，实际被盗金额尚未披露；Sahil Arora 的指控及截图未经本文独立核实；黄仁勋所涉情报疑点来自媒体援引美国情报部门与政策圈备忘录的报道，英伟达董事会的调查尚无结论。

免责声明：本文仅为信息报道与分析，不构成任何投资建议。

免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到[email protected]，本平台相关工作人员将会进行核查。