Web3Auth, der eingebettete Wallet-Anbieter, der inzwischen in MetaMask unter Consensys aufgegangen ist, hat seinen Embedded-Wallet-Dienst nach der Feststellung eines kritischen Sicherheitsproblems vorübergehend ausgesetzt. Das Unternehmen erklärt, es gebe keine Hinweise darauf, dass MetaMask-Nutzer betroffen seien. Dasselbe lässt sich nicht über alle sagen, die auf seiner Infrastruktur aufgebaut haben: Keplr Wallet, eine weit verbreitete Wallet im Cosmos-Ökosystem, hat als Reaktion seine Google- und Apple-Anmeldeoptionen deaktiviert.

Die Aussetzung trat am 6. November 2026 gegen 21:13 UTC in Kraft. Laut Web3Auth wurde die Abschaltung durchgeführt, um die möglichen Auswirkungen des Problems zu untersuchen. Die Folgen trafen vor allem Drittintegratoren, allen voran Keplr.

Wie sich der Vorfall auf Keplr auswirkte

Keplr nutzte Web3Auth für Social Logins, sodass Nutzer sich mit Google- und Apple-Konten anmelden konnten, statt eine Seed-Phrase zu verwalten. Keplr meldete ab dem 6. November unberechtigte Transaktionen – am selben Tag, an dem Web3Auth sein Problem meldete. Nachdem Keplr das Problem auf Web3Auth zurückverfolgt hatte, deaktivierte das Unternehmen am 7. November seine Google- und Apple-Anmeldeoptionen, um das weitere Risiko zu begrenzen.

Die Betroffenheit war über die Nutzerbasis von Keplr nicht einheitlich. Etwa 20 % der Keplr-Nutzer, die auf Social Logins setzten, könnten betroffen gewesen sein, so die mit dem Vorfall verbundenen Zahlen. Das Muster deutet darauf hin, dass die Exposition mit dem Social-Login-Ablauf selbst zusammenhing.

Blockchain-Tracking-Daten, die mit dem Vorfall in Verbindung gebracht werden, zeigen Abflüsse von rund 6 Millionen US-Dollar, wobei die Mittel von mehr als 44.000 Cosmos-Adressen und etwa 7.600 Injective-Adressen bewegt wurden. Web3Auth hat diese Verlustzahl bestritten; die 6-Millionen-Zahl sollte daher als Schätzung aus Onchain-Bewegungen und nicht als bestätigte Summe gestohlener Mittel gelesen werden.

Das Unternehmen hat zudem Wiederherstellungsmaßnahmen eingeleitet, darunter sogenannte White-Hat-Transfers, bei denen Vermögenswerte aus verwundbaren Wallets in verifizierte Adressen verlagert werden, bevor ein Angreifer sie erreichen kann. Der endgültige gesicherte Betrag durch diese Operationen ist noch nicht bekannt.

Nicht alle waren im Wirkungsbereich des Vorfalls. Trust Wallet und Standard-MetaMask-Konten erwiesen sich als unbeeinflusst, und auch Keplr-Konten ohne Social Login blieben unberührt.

Warum Social-Login-Wallets unter Beobachtung stehen

Eingebettete Wallets mit Social Login wurden entwickelt, um eines der ältesten Usability-Probleme in Krypto zu lösen: die Seed-Phrase. Social Login ermöglicht die Anmeldung wie bei jeder gängigen App, während ein Dritter im Hintergrund einen Großteil des Schlüsselmanagements übernimmt, sodass der Nutzer dies nie tun muss.

Viele dieser Setups beruhen auf Multi-Party-Computation (MPC). Vereinfacht gesagt verteilt MPC die Kontrolle über einen privaten Schlüssel auf mehrere Parteien, sodass kein einzelnes Teil allein ausreicht, um Mittel zu bewegen. Auf dem Papier verteilt das Risiko auf mehrere Beteiligte. In der Praxis zeigt der Vorfall, dass diese Konstellation auch eine Abhängigkeit schafft: Wenn der Anbieter, der einen Teil des Prozesses abwickelt, einen Fehler hat, kann jede darauf aufgebaute Anwendung diesen Fehler erben.

Was das für Wallets, Nutzer und Entwickler bedeutet

Für Entwickler wirft der Vorfall drängende Fragen zum Konzentrationsrisiko auf. Wenn viele Wallets an denselben Embedded-Wallet-Anbieter angeschlossen sind, kann ein einzelnes Problem sich gleichzeitig über mehrere Ökosysteme ausbreiten – in diesem Fall sowohl Cosmos- als auch Injective-Nutzer über eine einzige Integration. Keplrs schnelle Entscheidung, Social Logins zu deaktivieren, wirkte als Notbremse.

Für MetaMask und Consensys dürfte die Zusicherung, dass MetaMask-Nutzer keine Kompromittierung zeigen, für den weiteren Integrationsplan von großer Bedeutung sein.

Mehrere offene Fragen bleiben es wert, verfolgt zu werden. Die erste ist die endgültige Abrechnung: ob Web3Auths Anfechtung der 6-Millionen-Zahl zu einer wesentlich anderen Zahl führt. Die zweite ist, wie viel des gefährdeten Werts die White-Hat-Transfers sichern können. Die dritte ist, wann und unter welchen Bedingungen Web3Auth seinen Embedded-Wallet-Dienst wiederherstellt und Keplr Social Logins wieder aktiviert.

Quelle: CryptoBriefing