Web3Auth affirme avoir déplacé environ 5,6 millions de dollars d'actifs utilisateurs hors des portefeuilles Keplr avant que des attaquants ne puissent les vider, indiquant avoir identifié une exposition dans l'infrastructure de gestion des clés qu'il prend en charge et être intervenu de manière préventive pour protéger les fonds des utilisateurs. Le récit de la société n'a pas été vérifié de manière indépendante, et aucun post-mortem technique ni aucune confirmation on-chain n'a été publié au moment de la rédaction.

Ce que Web3Auth dit s'être passé

Selon un reportage de The Block, Web3Auth a identifié une vulnérabilité affectant les portefeuilles Keplr qui reposaient sur son infrastructure de clés, puis a déplacé environ 5,6 millions de dollars d'actifs utilisateurs avant que quiconque ne puisse agir. La société a qualifié l'opération de front-running d'une exploitation potentielle — un terme emprunté à la mécanique MEV (valeur extractible maximale) qui implique de devancer un adversaire pour exécuter une transaction en premier. Dans ce contexte, le terme indique que Web3Auth a exécuté ses transferts avant toute transaction adverse, plutôt que de tenter de récupérer des fonds après un vol.

Web3Auth, anciennement connu sous le nom de Torus, fournit une infrastructure de connexion sociale et de gestion de clés utilisée par un large éventail d'applications Web3 ; son site officiel est web3auth.io. Keplr est un portefeuille sous forme d'extension de navigateur, développé par Chainapsis, principalement utilisé pour interagir avec les chaînes de l'écosystème Cosmos, dont le Cosmos Hub et d'autres réseaux basés sur Cosmos SDK. La relation entre les deux produits signifie qu'un défaut de dérivation ou de garde des clés côté Web3Auth pourrait affecter les utilisateurs de Keplr qui se sont authentifiés via une connexion sociale plutôt que via des phrases mnémoniques autogérées.

L'action rapportée, telle que décrite par la société

Web3Auth affirme avoir exécuté un balayage protecteur, déplaçant la totalité des 5,6 millions de dollars à travers les portefeuilles affectés pour prévenir toute perte. Le nombre de portefeuilles concernés, les chaînes spécifiques affectées, les adresses de destination des fonds déplacés, la question de savoir si les utilisateurs ont été avertis à l'avance et le moment du balayage par rapport à toute activité d'un attaquant ne sont pas confirmés dans les reportages disponibles.

ucune donnée d'explorateur de blocs n'a été fournie pour corroborer l'ampleur ou la destination des transferts. Sans hachages de transaction ni adresses de portefeuille, la vérification indépendante du chiffre de 5,6 millions de dollars et de l'emplacement actuel des fonds n'est pas possible à partir des seuls reportages publics.

Pourquoi un transfert préventif de fonds constitue un événement de risque significatif

Lorsqu'un fournisseur de portefeuille déplace des fonds utilisateurs sans transactions initiées par les utilisateurs, cela soulève des questions directes sur le modèle de garde utilisé. Si Web3Auth détenait ou pouvait reconstruire unilatéralement les clés privées, c'est par conception pour les architectures de portefeuilles à connexion sociale, mais cela signifie aussi que le fournisseur détient une autorité de signature que les utilisateurs n'ont peut-être pas pleinement compris qu'ils accordaient. Ces architectures, couramment construites avec le calcul multi-parties (MPC) pour diviser le matériel de clé en parts détenues par des parties distinctes, sont conçues pour qu'aucune partie — ni l'utilisateur ni le fournisseur — ne détienne seule la clé privée complète ; la garde pratique dépend donc de la manière dont les parts de clés sont distribuées et reconstruites.

La pile DeFi s'appuie de plus en plus sur des couches d'abstraction de portefeuille, la récupération sociale et des services de gestion de clés pour réduire la friction d'intégration. Ces compromis de conception sont légitimes, mais des incidents comme celui-ci clarifient la véritable surface de confiance : les utilisateurs de portefeuilles non custodiaux qui dépendent d'une infrastructure de clés tierce sont exposés à la posture de sécurité et aux décisions opérationnelles de ce fournisseur, d'une manière différente de la pur autogarde, où une seule phrase mnémonique reste sous le contrôle exclusif de son détenteur. Ce compromis n'est pas théorique : les défaillances d'infrastructure au niveau des portefeuilles ont des précédents dans l'industrie, notamment la violation du portefeuille Slope en 2022, où les phrases mnémoniques des utilisateurs ont été capturées par un service centralisé de journalisation, et la compromission en 2023 de la bibliothèque JavaScript Connect Kit de Ledger, qui a servi du code malveillant aux portefeuilles interagissant avec les front-ends concernés.

Exposition rapportée ou perte confirmée

Le cadrage de Web3Auth implique que les fonds étaient menacés mais non perdus. Cette distinction est importante pour l'évaluation du risque de protocole. Si la société a bien devancé un attaquant et que la totalité des 5,6 millions de dollars reste récupérable par les utilisateurs, l'incident constitue un quasi-accident plutôt qu'une exploitation réalisée.

À ce stade, aucune source indépendante n'a confirmé l'un ou l'autre scénario. Le récit provient d'une seule partie : le fournisseur d'infrastructure dont la gestion des clés était mise en cause. Des rapports d'utilisateurs, une divulgation propre de Keplr ou des données on-chain correspondant aux transferts décrits apporteraient chacune des preuves plus solides pour l'un ou l'autre scénario.

Ce qui reste à confirmer

Plusieurs faits qui permettraient d'étayer le récit de Web3Auth sont absents des reportages actuels. Chacun représente une question ouverte que les lecteurs peuvent suivre à mesure que l'incident évolue.

• Divulgation de la cause racine. Quelle était la nature de l'exposition — une clé divulguée, un service de signature compromis ou un défaut logique de dérivation de clés ? Sans cela, l'ampleur des portefeuilles à risque peut être évaluée.
• Nombre de portefeuilles affectés. Combien de portefeuilles Keplr ont été exposés ? Le chiffre de 5,6 millions de dollars implique un ensemble spécifique de portefeuilles, mais aucun décompte n'a été rapporté.
• Données de transaction on-chain. Des entrées d'explorateur de blocs montrant le volume des transferts, les portefeuilles sources, les adresses de destination et les horodatages permettraient une vérification indépendante du montant et de la chronologie par rapport à toute activité d'un attaquant.
• Statut de restitution des fonds. Où se trouvent les fonds déplacés — restitués aux utilisateurs, détenus dans un multisig, ou placés dans un contrat de récupération ? L'intention protectrice du balayage n'est pleinement crédible que si la restitution est documentée.
• Déclaration indépendante de Keplr. En tant qu'interface de portefeuille utilisée par les utilisateurs concernés, une divulgation propre de Keplr donnerait un poids significatif au récit de l'incident. Aucune déclaration distincte de Keplr n'a été confirmée dans les sources disponibles.

L'absence de ces détails ne signifie pas que le récit de Web3Auth est faux, mais elle signifie que l'incident constitue actuellement une affirmation unique de la partie la plus incitée à présenter le résultat comme un succès protecteur. Les évaluations de risque de protocole pour les applications construites sur l'infrastructure de clés de Web3Auth devraient traiter cela comme un événement de sécurité ouvert jusqu'à la publication d'un post-mortem complet.

Pour les utilisateurs dont les portefeuilles pourraient avoir été affectés, l'action la plus directe consiste à vérifier les soldes via les explorateurs de chaînes Cosmos et à surveiller les communications officielles de Web3Auth et de Keplr. La sécurité des portefeuilles dans les architectures à connexion sociale dépend de la transparence et de la qualité de la réponse aux incidents de la couche de gestion de clés sous-jacente, et cet incident servira de point de données dans cette évaluation continue.

Source : DefiLiban — Web3Auth Says It Moved $5.6M From Exposed Keplr Wallets