Keplr Wallet a suspendu la fonctionnalité de connexion via Google et Apple après que des utilisateurs ont signalé des transferts de cryptomonnaies non autorisés, les premières estimations suggérant qu'environ 20 % des comptes créés via l'authentification sociale pourraient être vulnérables.

L'incident du 7 novembre a touché des portefeuilles dans tout l'écosystème Cosmos, des enquêteurs de la communauté signalant des actifs volés impliquant Injective, Osmosis et Cosmos Hub. Les premières estimations de pertes dépassaient 700 000 $, bien qu'un suivi indépendant ultérieur indique des sorties de fonds nettement plus importantes. Keplr n'a pas confirmé de montant officiel des pertes.

Le problème de sécurité provient de Web3Auth, le fournisseur d'authentification tiers qui alimente la fonctionnalité de connexion sociale de Keplr. Les deux sociétés enquêtent sur cette compromission, et Keplr a averti les utilisateurs concernés de ne pas déposer d'actifs supplémentaires ni de tenter de recréer leurs portefeuilles.

Le cofondateur estime que 20 % des comptes à connexion sociale pourraient être exposés

Keplr a confirmé les transactions non autorisées impliquant des comptes Google et Apple dans une déclaration officielle sur X, distinguant ces portefeuilles des comptes créés via des phrases de récupération classiques ou des appareils matériels. La société a indiqué que son enquête préliminaire n'avait révélé aucune preuve que ces autres types de portefeuilles avaient été compromis dans le cadre de l'incident Web3Auth.

Le cofondateur de Chainapsis, Josh Lee, dont l'entreprise développe Keplr, a fourni des détails supplémentaires, estimant qu'environ 20 % des comptes à connexion sociale pourraient être touchés. Il a toutefois souligné qu'une fraction seulement des comptes potentiellement vulnérables semblait avoir été exploitée, laissant ouverte la possibilité de rétablir l'accès aux autres. Lee a également précisé que l'incident ne provenait pas d'une vulnérabilité du code applicatif de Keplr lui-même.

Le système d'authentification sociale de Keplr repose sur l'infrastructure de génération de clés distribuées de Web3Auth, une conception cryptographique qui répartit le matériel de clé entre plusieurs parties afin qu'aucun appareil ou serveur unique ne détienne jamais une clé privée complète. Il permet aux utilisateurs de créer des portefeuilles de cryptomonnaies via leurs comptes Google ou Apple existants au lieu de gérer manuellement des phrases de récupération, une approche longtemps présentée comme facilitant l'intégration des utilisateurs novices en auto-conservation. L'architecture de sécurité du portefeuille génère les clés privées via Web3Auth et stocke les identifiants chiffrés localement. La commodité de cette conception lie toutefois la sécurité du portefeuille à l'infrastructure d'un fournisseur externe. Le mécanisme exact ayant permis les transactions non autorisées n'a pas été divulgué.

Web3Auth suspend ses services à mesure que les estimations de pertes augmentent

Web3Auth a reconnu un incident de sécurité affectant des intégrations tierces le 6 novembre et a temporairement désactivé son service de portefeuille intégré. La société a ensuite placé son infrastructure de connexion en maintenance, confirmant que des mesures de précaution étaient en cours. Web3Auth, acquis par Consensys, le développeur de MetaMask, en 2025, a indiqué que son enquête initiale n'avait révélé aucune preuve que les utilisateurs de MetaMask étaient touchés.

Pendant ce temps, des enquêteurs indépendants de la communauté ont suivi des mouvements suspects impliquant les jetons ATOM, OSMO et INJ, certaines estimations atteignant désormais plusieurs millions de dollars. Ni Keplr ni Web3Auth n'ont vérifié ces chiffres ni divulgué le nombre d'utilisateurs touchés.

Cet épisode fait suite à une série d'attaques récentes impliquant une infrastructure cryptographique externe. Le 29 octobre, Polymarket a subi une exploitation de drainage de portefeuilles de 2,7 millions de dollars après l'injection de JavaScript malveillant dans son interface de négociation via un fournisseur de surveillance compromis. Par ailleurs, BTCPay Server a averti les opérateurs de retraits non autorisés de portefeuilles chauds liés à des installations logicielles vulnérables. Pris ensemble, ces incidents soulignent la manière dont les attaquants ciblent de plus en plus l'infrastructure tierce dont dépendent les produits crypto — outils de surveillance, logiciels de paiement, services d'authentification — plutôt que le code central des applications.

Keplr a demandé aux utilisateurs ayant créé des portefeuilles via l'authentification Google ou Apple de ne pas envoyer de fonds supplémentaires à ces comptes ni de les réimporter dans d'autres applications pendant que l'enquête se poursuit. L'équipe a également mis en garde contre l'assistance non sollicitée au rétablissement, les messages frauduleux de support et les liens suspects prétendant restaurer les fonds volés, des indications supplémentaires étant disponibles dans son centre d'aide.

Aucun plan de remboursement ni calendrier de rétablissement de la fonctionnalité de connexion sociale n'a été annoncé. L'enquête se poursuit tandis que Keplr et Web3Auth s'efforcent d'identifier les comptes touchés, de déterminer la méthode d'attaque et d'évaluer les options de récupération possibles. Pour l'instant, les observateurs attendent trois éléments qu'aucune des deux sociétés n'a encore fournis : une méthode d'attaque confirmée, des chiffres de pertes vérifiés et un calendrier de rétablissement des connexions sociales.

Cet article est initialement paru sur Crypto Adventure.