Keplr suspend les connexions Google et Apple alors qu'un drain de portefeuille de 6 millions de dollars frappe Cosmos

Keplr a suspendu les connexions de portefeuille Google et Apple après qu'une violation de sécurité impliquant Web3Auth a exposé les clés privées des utilisateurs, les enquêteurs blockchain ayant retracé plus de 6 millions de dollars de transferts provenant de plus de 44 000 portefeuilles.

Résumé

• Keplr a suspendu les connexions de portefeuille Google et Apple après que l'infrastructure de Web3Auth a exposé certaines clés privées des utilisateurs.
• Bitquery a retracé environ 6,01 millions de dollars de transferts impliquant plus de 44 000 portefeuilles à travers les réseaux Cosmos.
• Le co-fondateur de Keplr a estimé qu'environ 20 % des comptes de connexion sociale étaient potentiellement exposés, bien que moins aient été réellement exploités.
• Web3Auth a commencé des opérations de récupération whitehat, avertissant que les transferts de protection pourraient ressembler à une activité de drainage de portefeuille non autorisée.
• Keplr a conseillé aux utilisateurs de connexion sociale de déplacer les actifs liquides restants vers des comptes sécurisés avec phrase de récupération ou portefeuilles matériels.

Dans son avis de sécurité du 7 novembre, Keplr Wallet a confirmé avoir reçu des rapports de transactions non autorisées impliquant des comptes créés via des connexions sociales. La société a lié l'incident à Web3Auth, un fournisseur d'authentification de portefeuille détenu par Consensys, et a commencé à travailler avec son équipe pour enquêter sur les comptes affectés.

Nous avons reçu des rapports de transactions non autorisées sur certains comptes Keplr créés avec la connexion Google ou Apple. Nous avons signalé cela à l'équipe @Web3Auth et avons travaillé avec eux sur l'enquête depuis.

Sur la base de notre évaluation initiale : si vous avez créé votre portefeuille Keplr... https://t.co/EoXTC9ehpP --- Keplr Wallet (@keplrwallet) 7 novembre 2026

La violation a laissé certains utilisateurs incapables d'accéder à leurs portefeuilles via le processus de connexion habituel, tandis que d'autres ont signalé des fonds manquants. Le co-fondateur de Keplr, Josh Lee, a estimé qu'environ 20 % des comptes de connexion Google et Apple de la plateforme pourraient être affectés, bien qu'il ait déclaré qu'une fraction seulement avait été exploitée.

Le piratage de Keplr Wallet retracé à une violation de l'infrastructure de Web3Auth

Le problème de sécurité a pris naissance dans l'infrastructure exploitée par Web3Auth, qui permet aux utilisateurs de créer et d'accéder à des portefeuilles de cryptomonnaie via des comptes en ligne existants sans gérer manuellement les phrases de récupération lors de l'intégration.

Lee a expliqué que l'incident n'était pas causé par un compromis du code de portefeuille de Keplr. Au lieu de cela, les comptes affectés s'appuyaient sur un service d'authentification externe qui a ensuite connu une défaillance de sécurité.

"Ce n'était pas un piratage du code de Keplr. L'incident a pris naissance chez Web3Auth, un fournisseur utilisé par Keplr," a déclaré Lee.

Web3Auth a ensuite reconnu un problème d'infrastructure affectant certains portefeuilles intégrés utilisés par Keplr. La société a temporairement suspendu son service de portefeuille intégré tout en enquêtant sur la violation et en identifiant les comptes nécessitant une protection.

"Après une enquête initiale, nous n'avons trouvé aucune preuve que les utilisateurs de MetaMask soient impactés," a déclaré le fournisseur.

Bien que Web3Auth soutienne des services d'authentification pour des applications tierces, la société n'a pas publié de liste complète d'autres fournisseurs de portefeuilles exposés à la vulnérabilité. Elle n'a pas expliqué publiquement le point d'entrée technique qui a permis aux clés privées affectées de devenir compromises.

Les données blockchain suivent 6 millions de dollars à travers des milliers de portefeuilles

La société d'intelligence blockchain Bitquery a retracé environ 6,01 millions de dollars d'actifs à travers deux adresses de collection associées à l'incident du 6 au 7 novembre.

Son enquête a identifié 44 041 portefeuilles à travers sept réseaux Cosmos, ainsi que 7 603 adresses affectées sur Injective. Comme certains portefeuilles apparaissaient sur plusieurs réseaux, les chercheurs ont estimé qu'environ 44 700 portefeuilles distincts étaient affectés après avoir pris en compte les adresses qui se chevauchent.

Cosmos Hub représentait environ 3,5 millions de dollars des actifs enregistrés, avec des transferts supplémentaires impliquant Osmosis, Celestia, Akash, Noble, Babylon, dYdX et Injective.

L'enquête a révélé qu'environ 86 % des portefeuilles affectés sur les sept réseaux liés ont effectué des transferts sortants après que Keplr a émis son premier avertissement. Les chercheurs ont enregistré des transactions se poursuivant sur Cosmos Hub pendant leur période d'observation du 7 novembre.

Bitquery a identifié des transferts impliquant 1,96 million d'ATOM mis en jeu, les transactions utilisant la tokenisation des parts de mise pour déplacer des positions sans compléter la période de désengagement habituelle de 21 jours.

Cependant, Web3Auth a ensuite révélé que des équipes de récupération autorisées déplaçaient des actifs par des chemins de transaction similaires.

Par conséquent, les transferts enregistrés ne peuvent pas tous être considérés comme des pertes confirmées contrôlées par des attaquants sans distinguer les adresses de récupération des destinations malveillantes.

Web3Auth commence la récupération des comptes exposés

Avec certains comptes vulnérables détenant encore des cryptomonnaies, Web3Auth et ses partenaires ont commencé des opérations de récupération éthique pour protéger les fonds avant que les attaquants ne puissent y accéder.

La société a déclaré que les équipes de récupération utilisaient le même chemin technique exploité pendant l'incident, ce qui avait conduit certaines transactions de protection à être confondues avec un vol supplémentaire.

Keplr a ensuite averti que certains portefeuilles de connexion Google et Apple pourraient afficher des soldes réduits ou vides en raison de ces mesures de protection. Les actifs mis en jeu et verrouillés nécessitent des procédures de récupération plus compliquées, ce qui signifie que le travail pourrait prendre plus de temps.

Lee avait précédemment déclaré que la majorité des comptes potentiellement exposés pourraient encore être récupérables, bien que la société n'ait pas annoncé de montant final sécurisé ou retourné aux utilisateurs.

Keplr n'a pas établi publiquement si les clients affectés recevront un remboursement pour les pertes confirmées.

Keplr conseille aux utilisateurs de connexion sociale de déplacer les fonds restants

Pour les clients qui ont créé des portefeuilles en utilisant des phrases de récupération ou des dispositifs matériels, Keplr a déclaré que l'incident n'avait pas affecté leurs comptes. Ses dernières recommandations concernent spécifiquement les portefeuilles créés via l'authentification Google ou Apple.

La société a conseillé aux utilisateurs de connexion sociale de ne pas envoyer de fonds supplémentaires dans des comptes potentiellement compromis et leur a demandé de déplacer tout actif liquide restant vers des comptes de portefeuille de phrase de récupération ou de matériel.

Elle travaille avec Web3Auth sur une méthode permettant aux clients de déterminer si leurs comptes ont été affectés. Les utilisateurs ont été avertis contre les messages et liens non sollicités prétendant offrir une récupération d'actifs.

L'incident fait suite à d'autres échecs de sécurité des cryptomonnaies impliquant des identifiants de portefeuille. En juillet, crypto.news a couvert un compromis logiciel Injective impliquant un package de développeur malveillant qui a exposé des clés privées et des phrases de récupération.

Une vulnérabilité du portefeuille Qubic en octobre a également impliqué une sécurité de portefeuille compromise, bien que les enquêteurs aient retracé cet incident à des faiblesses dans la génération de graines plutôt qu'à une authentification sociale tierce.

Web3Auth et Keplr continuent de coordonner la protection et la récupération des comptes, tandis que le fournisseur prépare des informations pour distinguer les transactions de récupération autorisées des transferts associés à l'attaquant.