Bitquery verfolgt 6,01-Mio-$-Diebstahl zu über Google- und Apple-Logins erstellten Keplr-Wallets zurück

Zwischen dem 6. und 7. November 2026 wurden mindestens 6,01 Millionen Dollar aus Keplr-Wallets abgezweigt, und die Verluste lassen sich auf freigelegte private Schlüssel zurückführen, die mit Konten verbunden waren, die über Google- oder Apple-Anmeldungen erstellt wurden. Das Blockchain-Analyseunternehmen Bitquery ist dem Geld gefolgt, und seine Erkenntnisse deuten auf die bequeme Social-Login-Option – nicht auf die traditionelle Seed-Phrase-Einrichtung der Wallet – als schwachen Punkt hin.

Dieser Unterschied ist für alle relevant, die derzeit Vermögenswerte in Keplr halten. Die gemeldete Exposition betrifft Social-Login-Konten, also Konten, bei denen Nutzer auf „Mit Google anmelden“ oder „Mit Apple anmelden“ tippen, anstatt eine Liste von Seed-Wörtern aufzuschreiben.

So vollzog sich der Abfluss

Bitquerys Analyse identifizierte rund 44.700 unterschiedliche Wallets, die von unbefugten Transaktionen betroffen waren. Die Aufschlüsselung zählte 44.041 Wallets auf Chains des Cosmos-Ökosystems und 7.603 auf Injective.

Der Cosmos Hub traf es am härtesten: Etwa 3,5 Millionen Dollar der Verluste entfielen allein auf diese Chain. Ein Teil dieses Betrags betraf gestakte Assets: Rund 1,96 Millionen gestakte ATOM wurden abtransportiert, ohne die übliche 21-tägige Unbonding-Frist zu durchlaufen. Diese 21-tägige Wartezeit ist ein fester Bestandteil des Staking-Systems des Cosmos Hub – nach einer Unstaking-Anfrage bleiben die Token normalerweise 21 Tage gesperrt, bevor sie übertragen werden können.

Die Zeitangaben fügten eine weitere beunruhigende Ebene hinzu. Bitquery ordnete 86 % der abgeflossenen Mittel auf den betroffenen Netzwerken Transaktionen zu, die nach Keplrs erster Warnung am 7. November 2026 stattfanden. Klartext: Der Großteil des Geldes floss ab, nachdem Nutzer bereits darüber informiert worden waren, dass etwas nicht stimmte.

Wo die Schuld gesucht wird

Keplr, der Entwickler der Wallet, führte den Sicherheitsvorfall auf eine Schwachstelle in Web3Auth zurück, dem Drittanbieterdienst, der den Social-Login-Ablauf verwaltet und die Wallet-Schlüssel für diese Konten handhabt. Web3Auth bestätigte, dass eine Schwachstelle in seiner Infrastruktur die privaten Schlüssel einiger Drittanbieter-Nutzer freigelegt hatte, und erklärte, die ergriffenen Schutzmaßnahmen deckten sich mit den Transaktionsmustern des Angreifers.

Keplr-Mitgründer Josh Lee deutete an, dass der Vorfall schätzungsweise20 % der über Social-Logins erstellten Konten betraf, und fügte hinzu, dass bisher nur ein Bruchteil davon vollständig ausgenutzt worden sei. Keplr setzte Google- und Apple-Logins sofort aus und begann mit Wiederherstellungsmaßnahmen für die betroffenen Konten.

Zum Stand des 8. November 2026 hatten weder Keplr noch Web3Auth die genaue technische Ursache des Vorfalls offengelegt, eine präzise Gesamtsumme der Verluste veröffentlicht, die Zahl der betroffenen Konten bestätigt oder dargelegt, wie viel Geld wiederhergestellt werden kann.

Warum Social-Logins und Wiederherstellungsphrasen grundverschieden sind

Eine Krypto-Wallet wird letztlich von einem privaten Schlüssel kontrolliert, und wer diesen Schlüssel besitzt, kann die Mittel bewegen – ohne Ausnahme. Der klassische Weg, diesen Schlüssel zu sichern, ist eine Wiederherstellungsphrase, üblicherweise eine Folge von 12 oder 24 Wörtern. Der Nutzer schreibt sie auf, bewahrt sie an einem sicheren Ort auf, und die Verantwortung liegt vollständig bei ihm.

Social-Logins existieren, weil Wiederherstellungsphrasen für Neulinge – offen gesagt – eine schlechte Nutzererfahrung darstellen. Dienste wie Web3Auth ermöglichen stattdessen die Anmeldung mit vertrauten Google- oder Apple-Konten. Der Nachteil: Die Schlüsselverwaltung hängt von externer Infrastruktur ab, und wenn diese Infrastruktur eine Schwachstelle aufweist, können die von ihr verwalteten Schlüssel offengelegt werden – was laut Web3Auth in diesem Fall bei einigen Nutzern geschah.

Der gemeldete Schaden bei diesem Vorfall konzentriert sich auf Konten, die über Google- und Apple-Logins erstellt wurden. Nutzer, die Keplr mit einer traditionellen Wiederherstellungsphrase eingerichtet hatten, standen nicht im Fokus der gemeldeten Schlüssel-Exposition.

Was dies für Nutzer und das Cosmos-Ökosystem bedeutet

Die unmittelbare Priorität für betroffene Nutzer ist einfach: Jeder mit einem über Google oder Apple erstellten Keplr-Konto sollte es als potenziell kompromittiert betrachten und Keplrs Wiederherstellungshinweisen folgen.

Die Reichweite unterstreicht zudem Keplrs Rolle im Interchain-Umfeld: eine einzige Wallet-Anwendung, die sowohl Chains des Cosmos-Ökosystems als auch Injective bedient – was in diesem Fall bedeutete, dass ein einziger kompromittierter Login-Pfad gleichzeitig Guthaben auf mehreren Netzwerken betraf.

Die Zahl von 86 % nach der Warnung ist das Detail, das zu denken gibt. Da ein großer Teil der Verluste eintrat, nachdem die Nutzer alarmiert worden waren, könnte es ebenso wichtig sein, wie schnell Wallet-Anbieter ihre Nutzer während eines laufenden Vorfalls erreichen, wie die Behebung selbst.

Die offenen Fragen bleiben die, die es zu verfolgen gilt. Keplr und Web3Auth müssen weiterhin die genaue technische Ursache erklären, die endgültige Verlustsumme und die Zahl der betroffenen Konten bestätigen sowie darlegen, wie viel Nutzer zurück erwarten können. Ob und zu welchen Bedingungen Keplr die ausgesetzte Google- und Apple-Login-Option wieder einführt, ist eine weitere Entwicklung, die es zu beobachten gilt. Bis diese Antworten vorliegen stellt der von Bitquery verfolgte Betrag von 6,01 Millionen Dollar eine Untergrenze dar, nicht die endgültige Summe.

Die zugrunde liegende Analyse wurde von Crypto Briefing ausführlicher berichtet.