Le piratage du portefeuille Keplr a mis en alerte les utilisateurs connectés via Google ou Apple. Keplr a suspendu les deux options de connexion sociale après que des transactions non autorisées ont touché certains comptes, tout en indiquant que les portefeuilles créés avec une phrase de récupération ou un portefeuille matériel ne sont pas concernés. Web3Auth, le fournisseur de la technologie de connexion intégrée derrière cette fonctionnalité, a suspendu son service dans le cadre de la réponse de sécurité, et les utilisateurs disposant de comptes touchés ont été priés de ne pas y déposer d'actifs supplémentaires.

Le suivi blockchain initial a placé plus de 6 millions de dollars sur plusieurs adresses on-chain. Web3Auth a ensuite indiqué que bon nombre des destinations signalées appartiennent à sa propre opération de récupération. Cette clarification change la façon dont les flux on-chain doivent être lus. Elle n'efface pas l'activité non autorisée et n'établit pas un total définitif des pertes, et les utilisateurs doivent distinguer les transferts de protection des retraits contrôlés par l'attaquant.

Le piratage du portefeuille Keplr entraîne la suspension des connexions Google et Apple

La fonction de connexion sociale de Keplr permettait aux utilisateurs d'ouvrir un compte via Google ou Apple au lieu d'enregistrer une phrase de récupération, l'infrastructure Web3Auth générant et accédant aux clés du portefeuille. Cette conception reflétait une tendance plus large de la crypto grand public à réduire la friction liée aux phrases seed lors de l'inscription, mais elle confiait la génération et l'accès aux clés à un fournisseur tiers plutôt qu'à l'utilisateur seul. Web3Auth a d'abord suspendu son service de portefeuille intégré le 6 novembre et a placé son service de connexion en maintenance pendant que les enquêteurs examinaient l'incident de sécurité.

Keplr a révélé le lendemain que certains comptes à connexion sociale comportaient des transactions non autorisées par leurs propriétaires. La société a désactivé la connexion Google et Apple pendant qu'elle examinait l'incident avec Web3Auth.

What this means for Keplr users

If you created your Keplr wallet with a recovery phrase or a hardware wallet, you are NOT affected.

In response to Web3Auth's infrastructure vulnerability leading to private key breach some Keplr users who signed in with Google or Apple, we are…

— Keplr Wallet (@keplrwallet) 7 novembre 2026

Le piratage affecte la voie de connexion sociale, et non l'ensemble des comptes Keplr. La recommandation de Keplr est directe : ne pas envoyer de nouveaux actifs vers un compte touché. Les utilisateurs doivent transférer tout jeton liquide restant vers un portefeuille distinct avec phrase de récupération ou un portefeuille matériel.

Une compromission de clé privée peut exposer d'un coup les soldes Cosmos. Dans les réseaux basés sur Cosmos, les adresses sur différentes chaînes partagent souvent la même clé sous-jacente tout en portant des préfixes différents, et cette conception peut transformer une seule clé compromise en un problème à l'échelle de tout l'écosystème. Cela explique aussi pourquoi le suivi initial a détecté de l'activité sur Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX et Babylon.

Bitquery retrace au moins 6,01 millions de dollars vers huit destinations

La société d'analyse blockchain Bitquery, qui a publié ses conclusions sur une page d'enquête publique, a retracé au moins 6,01 millions de dollars vers huit destinations. La société a enregistré 44 041 portefeuilles vidés sur sept chaînes liées et estimé le nombre total de victimes à environ 44 700. Sa recherche n'a pas inclus les jetons sans prix dans le total en dollars, et elle a relevé une perte individuelle maximale d'environ 325 000 dollars.

Le chiffre initial n'est pas un total de vol confirmé et définitif. Il reflète la valeur détenue par les adresses désignées au moment de la clôture de l'enquête. Les portefeuilles de récupération Web3Auth vérifiés aident désormais les analystes à séparer les soldes volés des actifs transférés durant la réponse whitehat, et cette évaluation peut évoluer à mesure que les sociétés rapprochent les transactions individuelles avec les utilisateurs.

Le piratage du portefeuille Keplr soulève des questions sur les portefeuilles de récupération

Web3Auth a ensuite rapporté qu'elle avait commencé des récupérations whitehat avant qu'un attaquant ne puisse atteindre certains portefeuilles vulnérables, en utilisant le même chemin d'accès pour sécuriser les actifs touchés. Par conséquent, un solde quittant un portefeuille à connexion sociale ne prouve pas automatiquement un vol.

Cosmos Hub cosmos1atuap9kfnt6y8ykvn3437e7j3z8qffh3qtnmwu

Osmosis osmo1atuap9kfnt6y8ykvn3437e7j3z8qffh3gsqtcw

Celestia celestia1atuap9kfnt6y8ykvn3437e7j3z8qffh33pzt53

Akash akash1atuap9kfnt6y8ykvn3437e7j3z8qffh3ds7uhx

Noble noble1atuap9kfnt6y8ykvn3437e7j3z8qffh3ggxnkj

— Web3Auth (@Web3Auth) 8 novembre 2026

Le 8 novembre, Web3Auth a publié les destinations vérifiées de son effort de récupération, et Keplr a relayé la même liste, indiquant que les adresses désignées n'étaient ni malveillantes ni des adresses d'exploitation. La liste comprenait des destinations sur huit chaînes Cosmos, trois réseaux Cosmos supplémentaires et une adresse EVM couvrant huit chaînes.

Ces portefeuilles de récupération Web3Auth chevauchent des adresses que Bitquery avait précédemment associées au drain, et ce chevauchement complique l'estimation headline des pertes. Web3Auth n'a pas divulgué la valeur qu'elle a sécurisée, et aucune des deux sociétés n'a fourni de rapprochement définitif des pertes. Il n'existe encore ni processus de restitution ni post-mortem technique. Ces points en suspens définissent désormais ce qu'il faut surveiller : un post-mortem technique expliquant comment les clés privées ont été exposées, la divulgation de la valeur sécurisée par Web3Auth durant la réponse whitehat, et une décision sur la question de savoir si et comment la connexion Google et Apple reviendra sur Keplr.

Keplr a indiqué que certains comptes peuvent paraître vides parce que des actifs ont été déplacés pendant l'atténuation, et que les actifs en staking ou verrouillés nécessitent plus de temps pour être sécurisés. Les utilisateurs ne doivent pas faire confiance aux messages privés, ne doivent pas divulguer leurs phrases de récupération, ni envoyer des fonds vers une prétendue adresse de sauvetage.

Le piratage du portefeuille Keplr demeure un incident de sécurité confirmé avec un bilan financier non établi. La distinction clé est étroite mais importante : Web3Auth qualifie certaines destinations de transfert de portefeuilles de protection, tandis que l'activité non autorisée a touché les comptes à connexion sociale. Jusqu'à ce que les sociétés publient un rapprochement complet, la répartition entre fonds volés et fonds protégés reste floue.