Bitquery remonte un vol de 6,01 M$ à des portefeuilles Keplr créés via des connexions Google et Apple

Au moins 6,01 millions de dollars ont été drainés de portefeuilles Keplr entre le 6 et le 7 novembre 2026, les pertes remontant à des clés privées exposées liées à des comptes créés via des connexions Google ou Apple. La société d'analyse blockchain Bitquery a suivi la piste des fonds, et ses conclusions désignent l'option pratique de connexion sociale — et non la configuration traditionnelle par phrase seed du portefeuille — comme le maillon faible.

Cette distinction est importante pour quiconque détient actuellement des actifs dans Keplr. L'exposition signalée concerne les comptes à connexion sociale, ceux où l'utilisateur appuie sur « Se connecter avec Google » ou « Se connecter avec Apple » au lieu de noter une liste de mots seed.

Comment le drain s'est déroulé

L'analyse de Bitquery a identifié environ 44 700 portefeuilles distincts touchés par des transactions non autorisées. Son décompte recense 44 041 portefeuilles sur les chaînes de l'écosystème Cosmos et 7 603 sur Injective.

Le Cosmos Hub a été le plus durement touché, avec environ 3,5 millions de dollars de pertes provenant de cette seule chaîne. Une partie de ce chiffre concernait des actifs en staking : environ 1,96 million d'ATOM en staking ont été transférés sans passer par la période de déblocage habituelle de 21 jours. Cette attente de 21 jours est une fonctionnalité intégrée du système de staking du Cosmos Hub — après une demande de retrait de staking, les jetons restent normalement verrouillés pendant 21 jours avant de pouvoir être transférés.

Les données temporelles ont ajouté une autre couche préoccupante. Bitquery a retracé 86 % des fonds drainés sur les réseaux concernés jusqu'à des transactions effectuées après l'alerte initiale publiée par Keplr le 7 novembre 2026. En clair, la majeure partie de l'argent est partie après que les utilisateurs avaient déjà été informés qu'un problème existait.

Où se porte la responsabilité

Keplr, le développeur du portefeuille, a attribué la violation à une vulnérabilité de sécurité dans Web3Auth, le service tiers qui gère le flux de connexion sociale et manipule les clés de portefeuille pour ces comptes. Web3Auth a confirmé qu'une vulnérabilité de son infrastructure avait exposé les clés privées de certains utilisateurs tiers, et a indiqué que les mesures de protection qu'il a prises coïncidaient avec les schémas de transactions de l'attaquant.

Le cofondateur de Keplr, Josh Lee, a indiqué que la violation avait touché environ 20 % des comptes créés via des connexions sociales, précisant'une fraction seulement d'entre eux avait été entièrement exploitée à ce jour. Keplr a immédiatement suspendu les connexions Google et Apple et a entamé les efforts de récupération pour les comptes concernés.

Au 8 novembre 2026, ni Keplr ni Web3Auth n'avaient révélé la cause technique exacte de la violation, publié un total précis des pertes, confirmé le nombre de comptes touchés ou détaillé la somme récupérable.

Pourquoi les connexions sociales et les phrases de récupération sont deux mondes différents

Un portefeuille crypto est en dernière analyse contrôlé par une clé privée, et quiconque détient cette clé peut déplacer les fonds. La méthode classique pour sauvegarder cette clé est une phrase de récupération, généralement une série de 12 ou 24 mots. L'utilisateur la note, la range en lieu sûr, et la responsabilité repose entièrement sur lui.

Les connexions sociales existent parce que les phrases de récupération sont, honnêtement, une expérience utilisateur médiocre pour les débutants. Des services comme Web3Auth permettent aux utilisateurs de se connecter avec des comptes Google ou Apple familiers à la place. La contrepartie est que la gestion des clés repose sur une infrastructure externe, et lorsque cette infrastructure présente une faille, les clés qu'elle aide à gérer peuvent être exposées — c'est ce que Web3Auth affirme s'être produit pour certains utilisateurs dans ce cas.

Les dommages signalés dans cet incident se concentrent sur les comptes créés via des connexions Google et Apple. Les utilisateurs ayant configuré Keplr avec une phrase de récupération traditionnelle n'étaient pas au cœur de l'exposition de clés signalée.

Ce que cela signifie pour les utilisateurs et l'écosystème Cosmos

La priorité immédiate pour les utilisateurs concernés est simple : toute personne disposant d'un compte Keplr créé via Google ou Apple doit le considérer comme potentiellement exposé et suivre les consignes de récupération de Keplr.

L'ampleur souligne également le rôle de Keplr dans l'interchain : une seule application de portefeuille servant à la fois les chaînes de l'écosystème Cosmos et Injective, ce qui a signifié dans ce cas qu'un unique point d'accès compromis a touché des soldes sur plusieurs réseaux simultanément.

Le chiffre de 86 % après l'alerte est le détail qui mérite réflexion. Comme une grande partie des pertes s'est produite après que les utilisateurs ont été alertés, la rapidité avec laquelle les fournisseurs de portefeuilles peuvent joindre leurs utilisateurs pendant un incident actif peut compter autant que la correction elle-même.

Les questions ouvertes restent celles qu'il faut suivre. Keplr et Web3Auth doivent encore expliquer la cause technique exacte, confirmer le total final des pertes et le nombre de comptes concernés, et préciser ce que les utilisateurs peuvent espérer récupérer. Le fait de savoir si, et à quelles conditions, Keplr rétablira l'option de connexion Google et Apple suspendue est un autre développement à surveiller. En attendant ces réponses, les 6,01 millions de dollars retracés par Bitquery constituent un plancher plutôt qu'un décompte final.

L'analyse sous-jacente a été rapportée plus en détail par Crypto Briefing.