Keplr Wallet a suspendu la connexion via Google et Apple après des signalements de transactions non autorisées, avertissant que les utilisateurs enregistrés via les méthodes d'authentification sociale concernées pourraient être exposés. Selon l'évaluation préliminaire de la société, les comptes créés avec des phrases de récupération traditionnelles ou des portefeuilles matériels n'ont pas été touchés.

Le fournisseur de portefeuille a conseillé aux utilisateurs potentiellement concernés d'éviter de déposer des fonds supplémentaires, de s'abstenir de réimporter ou de recréer leurs comptes et de s'appuyer exclusivement sur les communications officielles tant que l'enquête se poursuit.

Keplr signale les comptes connectés via Google et Apple

Dans un communiqué de sécurité publié le 6 novembre, Keplr a identifié les comptes créés via la connexion Google et Apple comme le groupe potentiellement touché par les transactions non autorisées.

« Si vous avez créé votre compte Keplr avec la connexion Google ou Apple, votre compte peut être concerné », a déclaré Keplr.

La société a émis des instructions spécifiques destinées à aider les utilisateurs à limiter toute exposition supplémentaire pendant que les enquêteurs examinent l'incident. Les détenteurs de comptes potentiellement concernés ont été invités à cesser de transférer de nouveaux fonds vers ces portefeuilles et à éviter de tenter de restaurer, réimporter ou recréer leurs comptes via d'autres services.

Keplr a également mis en garde les utilisateurs contre la réponse à des messages directs non sollicités ou le suivi de liens prétendant offrir une assistance à la récupération de portefeuille, les orientant vers son compte X officiel pour des mises à jour de sécurité vérifiées et des instructions.

L'avertissement s'applique spécifiquement aux comptes créés via les méthodes de connexion sociale concernées, et non à l'ensemble des portefeuilles Keplr.

L'infrastructure Web3Auth sous enquête

La distinction entre les méthodes de création de compte est importante car Keplr s'appuie sur des approches différentes pour l'authentification des portefeuilles et la gestion des clés privées. Selon la documentation de sécurité de Keplr, les comptes créés via la connexion Google utilisent la technologie Web3Auth pour générer une clé privée plutôt qu'une phrase de récupération classique de 12 ou 24 mots. La documentation indique que la clé privée générée est chiffrée et stockée localement sur l'appareil de l'utilisateur.

Cette architecture reflète un compromis courant dans l'inscription des portefeuilles : la connexion sociale retire la gestion de la phrase de récupération des responsabilités de l'utilisateur, mais en échange elle lie la génération du compte à l'infrastructure sous-jacente du fournisseur d'authentification. Comme cette infrastructure peut servir plusieurs applications à la fois, un problème au niveau du fournisseur peut s'étendre au-delà d'une seule application de portefeuille, ce qui explique en partie pourquoi l'incident implique à la fois Keplr et Web3Auth plutôt qu'une seule société.

Keplr collabore avec Web3Auth pour enquêter sur les transactions non autorisées signalées, bien qu'aucune des deux sociétés n'ait publiquement établi la cause sous-jacente du problème de sécurité. Les conclusions initiales de Keplr indiquaient que les utilisateurs ayant configuré leurs portefeuilles avec des phrases de récupération ou des portefeuilles matériels n'ont pas été touchés, une évaluation qui reste préliminaire tant que l'enquête se poursuit.

Web3Auth suspend temporairement son service de portefeuille intégré

Web3Auth a reconnu séparément le problème de sécurité dans un communiqué publié le 6 novembre, confirmant qu'un incident avait affecté ses services tels qu'utilisés par certaines applications tierces. Le fournisseur d'infrastructure de portefeuille a déclaré avoir temporairement suspendu son service de portefeuille intégré, qui permet aux applications d'intégrer directement des fonctionnalités de portefeuille de crypto-monnaies dans leurs plateformes.

Cette suspension constitue une mesure de précaution distincte de la décision de Keplr de désactiver la connexion Google et Apple.

Web3Auth a également abordé les préoccupations potentielles concernant MetaMask, indiquant que son enquête initiale n'avait pas identifié de preuve d'impact sur les utilisateurs de MetaMask.

« Après une enquête initiale, nous n'avons trouvé aucune preuve que les utilisateurs de MetaMask sont touchés », a déclaré Web3Auth.

Le communiqué n'a pas établi l'étendue complète de l'incident parmi les autres applications construites sur l'infrastructure Web3Auth.

Cause et impact financier toujours non confirmés

Ni Keplr ni Web3Auth n'ont révélé comment les transactions non autorisées se sont produites, et aucune des deux sociétés n'a fourni d'estimation des pertes financières ni identifié le nombre de comptes potentiellement compromis.

Par conséquent, l'ampleur de l'incident reste incertaine, notamment quant à savoir si l'activité signalée s'est limitée à un petit nombre de portefeuilles ou a concerné un groupe plus large d'utilisateurs s'appuyant sur les services d'authentification concernés.

Keplr a déclaré qu'il publierait des conclusions vérifiées et des instructions supplémentaires via son compte X officiel à mesure que l'enquête avance. En attendant des informations complémentaires, les recommandations de la société restent axées sur la prévention de nouveaux dépôts dans les comptes potentiellement concernés et sur l'éloignement des utilisateurs des services de récupération non autorisés. Les éléments à surveiller à mesure que l'enquête progresse sont la cause identifiée, tout chiffre concernant les comptes ou pertes touchés, et la date à laquelle Web3Auth rétablira son service de portefeuille intégré suspendu.

Source : Hokanews, d'après le reportage d'Ethan Collins pour The Defiant.