Web3Auth wehrt sich gegen eine Zahl, die sich schnell in Krypto-Kreisen verbreitet hat: ein gemeldeter Diebstahl von 6,01 Millionen Dollar aus Keplr-Social-Login-Wallets. Das Unternehmen sagt, die Schätzung sei unzutreffend, weil die betreffenden Gelder an verifizierte Recovery-Wallets und nicht in die Hände eines Angreifers geflossen seien.

Der Streit ist relevant, weil er auf einem echten Sicherheitsvorfall basiert. Eine Schwachstelle in den Diensten von Web3Auth traf Keplr-Nutzer, die sich mit Google- oder Apple-Konten angemeldet hatten, und die offene Frage ist, wie viel von dem Geld, das diese Wallets verlassen hat, tatsächlich verloren ist.

Was mit Keplrs Social-Login-Wallets geschah

Die Probleme begannen am 6. und 7. November 2026, als Gelder aus Keplr-Wallets mit Social-Logins abzufließen begannen. Bitquery, ein Blockchain-Datenanbieter, verzeichnete mehr als 44.041 betroffene Wallets im Cosmos-Ökosystem sowie 7.603 Wallets auf Injective, einer Cosmos-basierten Chain. Die Abflüsse wurden in CryptoBriefings früherer Berichterstattung über den Vorfall gemeldet.

Betroffen waren Konten, die auf die Infrastruktur von Web3Auth für Anmeldung und Schlüsselverwaltung setzten.

Web3Auth bestätigte die Schwachstelle am 6. November und pausierte seinen Embedded-Wallet-Dienst noch am selben Tag.

Keplr-Mitgründer Josh Lee sagte, der Angriff gehe auf einen Fehler in den Diensten von Web3Auth zurück und betreffe rund 20 Prozent der Wallets, die über Google- und Apple-Logins erstellt worden waren. Auf traditionelle Weise erstellte Wallets zeigten keine Kompromittierung. Laut Keplr waren Konten mit Recovery-Phrases oder Hardware-Geräten sicher.

Für Nicht-Fachleute funktioniert das Setup so: Eine Social-Login-Wallet ermöglicht es, mit einem Gmail- oder Apple-ID-Konto ein Krypto-Konto zu eröffnen, statt eine 12- oder 24-Wort-Seed-Phrase aufzuschreiben – eine Folge zufälliger Wörter, die als alleiniges Backup einer Self-Custody-Wallet dient. Ein Drittanbieter – in diesem Fall Web3Auth – übernimmt die Schlüsselverwaltung im Hintergrund, was die Einstiegshürde senkt, aber Vertrauen in die Infrastruktur des Anbieters konzentriert.

Warum die Zahl von 6,01 Millionen Dollar umstritten ist

Die Zahl von 6,01 Millionen Dollar entstand durch die Summierung der Gelder, die während des Vorfallszeitraums aus betroffenen Wallets abflossen. Web3Auth positioniert sich so, dass diese Aufstellung die falschen Transaktionen erfasst habe. Das Unternehmen sagt, einige als Diebstahl eingestufte On-Chain-Bewegungen seien tatsächlich schützende „Whitehat“-Rettungsaktionen gewesen, die von Web3Auth und seinen Partnern durchgeführt wurden.

Die Verwirrung rührte daher, wie diese Rettungen on-chain aussahen. Die Recovery-Operationen nutzten dieselben technischen Routen wie die ursprünglichen Angriffe – für jeden Blockchain-Beobachter sahen eine Rettung und ein Raub nahezu identisch aus.

Bis zum 8. November hatte Web3Auth eine Liste verifizierter Recovery-Adressen veröffentlicht, die elf Cosmos-basierte Netzwerke und acht EVM-kompatible Chains abdeckt. Ziel war es, Nutzern und Analysten zu ermöglichen zu bestätigen, dass geborgene Assets in Wallets gelandet sind, die das Unternehmen kontrolliert. Auf diese Liste verweist auch Web3Auth, wenn es die Schätzung von 6,01 Millionen Dollar als falsch bezeichnet: Liege das Geld auf diesen Adressen, so die Argumentation, sei es nicht gestohlen worden.

Nur offizielle Kanäle

Sowohl Web3Auth als auch Keplr wiesen die Nutzer an, inoffizielle Recovery-Angebote zu ignorieren und sich ausschließlich auf die eigenen Kanäle der Unternehmen für Updates und Hinweise zu verlassen. Keplr riet zudem, keine neuen Gelder auf betroffene Konten einzuzahlen und Assets zwischenzeitlich auf sichere Konten zu verschieben.

Was das für Social-Login-Wallets bedeutet

Wenn Nutzer ihre eigene Recovery-Phrase oder ein Hardware-Gerät besitzen, hängt ihre Sicherheit vor allem von ihrem eigenen Verhalten ab. Wenn ein Anbieter die Schlüssel verwaltet, kann ein einziger Fehler vorgelagerter Systeme Tausende Wallets gleichzeitig erreichen. Keplrs eigene Hinweise unterstrichen diese Trennung, da Phrasen- und Hardware-Wallets den Vorfall unberührt überstanden.

Der Streit um die Zahl zeigt zudem eine Schwäche darin, wie Krypto-Vorfälle in Echtzeit gemessen werden. On-Chain-Analysen sind schnell und transparent, zeigen aber Bewegung, nicht Absicht. Eine Rettung, die einen Angriff spiegelt, wird als Angriff gezählt, bis jemand mit mehr Kontext etwas anderes sagt.

Das schneidet in beide Richtungen. Frühe Schätzungen können den Schaden überzeichnen – genau das sei hier geschehen, argumentiert Web3Auth. Aber auch die eigene Darstellung eines Unternehmens zu seinem Vorfall verdient Prüfung, weshalb die veröffentlichten Recovery-Adressen wichtig sind: Sie ermöglichen Außenstehenden, die Behauptung zu überprüfen, statt sie blind zu glauben.

Zwei Fragen stehen nun über der nächsten Phase des Vorfalls: Wie viel der strittigen Abflüsse lässt sich letztlich den veröffentlichten Recovery-Adressen zuordnen, und ob – und wann – der pausierte Embedded-Wallet-Dienst von Web3Auth wieder online geht. Beides lässt sich über die offiziellen Kanäle der Unternehmen verfolgen statt über inoffizielle Recovery-Angebote.

Dieser Artikel basiert auf dem Bericht von CryptoBriefing.