Web3Auth s'oppose à un chiffre qui s'est rapidement propagé dans les cercles crypto : un vol déclaré de 6,01 millions de dollars depuis des portefeuilles Keplr à connexion sociale. La société affirme que cette estimation était inexacte, car les fonds en question ont été transférés vers des portefeuilles de récupération vérifiés, et non dans les mains d'un attaquant.

Ce différend est important car il repose sur un véritable incident de sécurité. Une vulnérabilité dans les services de Web3Auth a touché les utilisateurs de Keplr connectés via des comptes Google et Apple, et la question ouverte est de savoir quelle part des fonds ayant quitté ces portefeuilles est réellement perdue.

Ce qui s'est passé avec les portefeuilles à connexion sociale de Keplr

Les ennuis ont commencé les 6 et 7 novembre 2026, lorsque les fonds ont commencé à se vider des portefeuilles Keplr liés aux connexions sociales. Bitquery, un fournisseur de données blockchain, a recensé plus de 44 041 portefeuilles touchés dans l'écosystème Cosmos, ainsi que 7 603 portefeuilles sur Injective, une chaîne basée sur Cosmos. Ces sorties de fonds ont été signalées dans la précédente couverture de l'incident par CryptoBriefing.

Les comptes touchés étaient ceux qui reposaient sur l'infrastructure de Web3Auth pour la connexion et la gestion des clés.

Web3Auth a confirmé la vulnérabilité le 6 novembre et a suspendu son service de portefeuille intégré le même jour.

Le cofondateur de Keplr, Josh Lee, a déclaré que la faille provenait d'un défaut dans les services de Web3Auth et avait touché environ 20 % des portefeuilles créés via les connexions Google et Apple. Les portefeuilles créés de manière traditionnelle ne présentaient aucun signe de compromission. Selon Keplr, les comptes configurés avec des phrases de récupération ou des dispositifs matériels étaient en sécurité.

Pour les non-spécialistes, le dispositif fonctionne ainsi : un portefeuille à connexion sociale permet d'ouvrir un compte crypto avec un Gmail ou un Apple ID au lieu de noter une phrase seed de 12 ou 24 mots — une suite de mots aléatoires servant d'unique sauvegarde pour un portefeuille autogéré. Un fournisseur tiers, en l'occurrence Web3Auth, gère les clés en coulisses, ce qui abaisse la barrière à l'entrée mais concentre la confiance dans l'infrastructure du fournisseur.

Pourquoi le chiffre de 6,01 millions de dollars est contesté

Le chiffre de 6,01 millions de dollars provient du total des fonds sortis des portefeuilles touchés pendant la fenêtre de l'incident. Selon Web3Auth, ce total a englobé les mauvaises transactions. La société affirme que certains mouvements on-chain étiquetés comme un vol étaient en réalité des récupérations protectrices de type « whitehat » menées par Web3Auth et ses partenaires.

La confusion vient de l'apparence on-chain de ces sauvetages. Les opérations de récupération ont emprunté les mêmes routes techniques que les attaques initiales, de sorte que, pour quiconque observait la blockchain, un sauvetage et un vol semblaient presque identiques.

Au 8 novembre, Web3Auth avait publié une liste d'adresses de récupération vérifiées couvrant onze réseaux basés sur Cosmos et huit chaînes compatibles EVM. L'objectif était de permettre aux utilisateurs et aux analystes de confirmer que les actifs récupérés avaient atterri dans des portefeuilles contrôlés par la société. C'est également cette liste que Web3Auth invoque pour qualifier d'erronée l'estimation de 6,01 millions de dollars : si les fonds se trouvent sur ces adresses, fait valoir la société, ils n'ont pas été volés.

Canaux officiels uniquement

Web3Auth et Keplr ont tous deux demandé aux utilisateurs d'ignorer toute offre de récupération non officielle et de s'appuyer uniquement sur les canaux des sociétés pour les informations et les conseils. Keplr a également conseillé aux utilisateurs de cesser de déposer de nouveaux fonds sur les comptes touchés et de déplacer leurs actifs vers des comptes sécurisés en attendant.

Ce que cela signifie pour les portefeuilles à connexion sociale

Lorsqu'un utilisateur détient sa propre phrase de récupération ou un dispositif matériel, sa sécurité dépend principalement de ses propres pratiques. Lorsqu'un fournisseur gère les clés, une seule faille en amont peut atteindre des milliers de portefeuilles d'un coup. Les propres recommandations de Keplr ont souligné cette distinction, les portefeuilles à phrase de récupération et les portefeuilles matériels étant ressortis intacts de l'incident.

Le différend sur le chiffre révèle aussi une faiblesse dans la mesure en temps réel des incidents crypto. Les analyses on-chain sont rapides et transparentes, mais elles montrent des mouvements, pas des intentions. Un sauvetage qui imite une attaque sera compté comme une attaque jusqu'à ce qu'une personne mieux informée en décide autrement.

Cela joue dans les deux sens. Les premières estimations peuvent exagérer les dommages, comme Web3Auth le soutient ici. Mais le propre bilan d'une société sur son incident mérite lui aussi d'être examiné, c'est pourquoi les adresses de récupération publiées comptent : elles permettent aux tiers de vérifier l'affirmation plutôt que de la prendre sur parole.

Deux questions se posent désormais pour la suite : quelle part des sorties contestées correspondra en définitive aux adresses de récupération publiées, et si — et quand — le service de portefeuille intégré suspendu de Web3Auth sera rétabli. Les deux peuvent être suivis via les canaux officiels des sociétés plutôt que via des offres de récupération non officielles.

Cet article est basé sur le rapport de CryptoBriefing.