Web3Auth, le fournisseur de portefeuilles intégrés désormais intégré à MetaMask sous Consensys, a temporairement suspendu son service de portefeuille intégré après avoir identifié un problème de sécurité critique. L'entreprise déclare qu'aucun élément ne prouve que les utilisateurs de MetaMask ont été affectés. Il en va autrement pour tous ceux qui ont construit sur son infrastructure : Keplr Wallet, un portefeuille très utilisé dans l'écosystème Cosmos, a désactivé ses options de connexion Google et Apple en réponse.

La suspension a pris effet le 6 novembre 2026 à environ 21h13 UTC. Selon Web3Auth, l'arrêt a été effectué afin d'enquêter sur l'impact potentiel du problème. Les conséquences ont surtout touché les intégrateurs tiers, au premier rang desquels Keplr.

Comment le problème s'est propagé à Keplr

Keplr s'appuyait sur Web3Auth pour les connexions sociales, permettant aux utilisateurs de se connecter avec des comptes Google et Apple au lieu de gérer une phrase de récupération. Keplr a signalé des transactions non autorisées à partir du 6 novembre environ, la même date à laquelle Web3Auth avait signalé son problème. Après avoir retracé l'origine du problème jusqu'à Web3Auth, Keplr a désactivé ses options de connexion Google et Apple le 7 novembre pour limiter les risques supplémentaires.

L'exposition n'était pas uniforme parmi la base d'utilisateurs de Keplr. Environ 20 % des utilisateurs de Keplr qui utilisaient les connexions sociales auraient pu être affectés, selon les chiffres liés à l'incident. Ce schéma indique que l'exposition était liée au flux de connexion sociale lui-même.

Les données de suivi on-chain liées à la violation font état d'environ 6 millions de dollars de sorties de fonds, les fonds provenant de plus de 44 000 adresses Cosmos et d'environ 7 600 adresses Injective. Web3Auth a contesté ce chiffre de pertes ; les 6 millions de dollars doivent donc être lus comme une estimation tirée des flux on-chain plutôt que comme un décompte confirmé des fonds volés.

L'entreprise a également entamé des mesures de récupération, notamment les transferts dits white-hat, qui déplacent les actifs hors des portefeuilles vulnérables vers des adresses vérifiées avant qu'un attaquant puisse y accéder. Le montant final sécurisé grâce à ces opérations n'est pas encore connu.

Tout le monde n'a pas été touché. Trust Wallet et les comptes MetaMask standard se sont révélés non affectés, et les comptes Keplr n'utilisant pas de connexion sociale sont également restés intacts.

Pourquoi les portefeuilles à connexion sociale sont sous surveillance

Les portefeuilles intégrés avec connexion sociale sont conçus pour résoudre l'un des plus anciens problèmes d'utilisabilité de la crypto : la phrase de récupération. La connexion sociale permet aux utilisateurs de se connecter comme ils le feraient avec n'importe quelle application grand public, tandis qu'un tiers gère une grande partie de la gestion des clés en coulisses, épargnant ainsi l'utilisateur.

Beaucoup de ces configurations reposent sur le calcul multi-parties (MPC). En termes simples, le MPC répartit le contrôle d'une clé privée entre plusieurs parties, de sorte qu'aucune pièce seule ne suffit à déplacer des fonds. Sur le papier, cela répartit le risque entre les participants. En pratique, l'incident met en évidence que cet arrangement introduit également une dépendance : si le fournisseur gérant une partie du processus présente une faille, chaque application construite sur lui peut hériter de cette faille.

Ce que cela signifie pour les portefeuilles, les utilisateurs et les développeurs

Pour les développeurs, l'incident soulève des questions pointues sur le risque de concentration. Lorsque de nombreux portefeuilles se connectent au même fournisseur de portefeuille intégré, un seul problème peut se propager simultanément à plusieurs écosystèmes, dans ce cas touchant à la fois les utilisateurs de Cosmos et d'Injective via une seule intégration. La décision rapide de Keplr de désactiver les connexions sociales a servi de frein d'urgence.

Pour MetaMask et Consensys, l'assurance que les utilisateurs de MetaMask ne montrent aucun signe de compromission pèsera considérablement dans la suite du plan d'intégration.

Plusieurs questions ouvertes méritent d'être suivies. La première est le décompte final : la contestation par Web3Auth du chiffre de 6 millions de dollars aboutira-t-elle à un montant sensiblement différent ? La deuxième est la part de la valeur exposée que les transferts white-hat parviendront à sécuriser. La troisième est de savoir quand, et à quelles conditions, Web3Auth rétablira son service de portefeuille intégré et Keplr réactivera les connexions sociales.

Source : CryptoBriefing