Bitquery spoort $6,01 miljoen aan diefstal naar Keplr-wallets die via Google- en Apple-logins zijn aangemaakt

Er is ten minste $6,01 miljoen uit Keplr-wallets gehaald tussen 6 en 7 november 2026, waarbij de verliezen terug te voeren zijn op blootgestelde privésleutels die gekoppeld zijn aan accounts die via Google- of Apple-aanmeldingen zijn aangemaakt. Blockchainanalysebedrijf Bitquery volgde het geld, en de bevindingen wijzen op de handige social-login-optie — niet de traditionele seed phrase-opzet van de wallet — als zwakke schakel.

Dat onderscheid is belangrijk voor iedereen die momenteel assets in Keplr aanhoudt. De gemelde blootstelling betreft social-login-accounts, de accounts waarbij een gebruiker op "Inloggen met Google" of "Inloggen met Apple" tikt in plaats van een lijst met seed words op te schrijven.

Hoe de afvoer verliep

De analyse van Bitquery identificeerde ongeveer 44.700 unieke wallets die geraakt werden door ongeautoriseerde transacties. De uitsplitsing telde 44.041 wallets op chains in het Cosmos-ecosysteem en 7.603 op Injective.

De Cosmos Hub kreeg de grootste klap, met ongeveer $3,5 miljoen aan verliezen die van die chain alleen al afkomstig waren. Een deel van dat bedrag betrof gestakede assets: circa 1,96 miljoen gestakede ATOM werd verplaatst zonder de gebruikelijke ontbindingsperiode van 21 dagen door te lopen. Die wachttijd van 21 dagen is een ingebouwd kenmerk van het stakingsysteem van de Cosmos Hub — na een unstaking-verzoek blijven tokens normaal gesproken 21 dagen vergrendeld voordat ze overgeboekt kunnen worden.

De timinggegevens voegden een zorgwekkende laag toe. Bitquery herleidde 86% van de gedraineerde middelen op gekoppelde netwerken tot transacties die plaatsvonden nadat Keplr zijn eerste waarschuwing had uitgegeven op 7 november 2026. Simpel gezegd: het grootste deel van het geld verdween nadat gebruikers al waren gewaarschuwd dat er iets mis was.

Waar de schuld wordt gelegd

Keplr, de ontwikkelaar van de wallet, schreef de inbreuk toe aan beveiligingskwetsbaarheid in Web3Auth, de externe dienst die de social-login-flow beheert en de wallet-sleutels voor die accounts verwerkt. Web3Auth bevestigde dat een kwetsbaarheid in zijn infrastructuur de privésleutels van enkele gebruikers van derden blootlegde, en verklaarde dat de beschermende maatregelen die het nam samenvielen met de transactiepatronen van de aanvaller.

Keplr-medegrondlegger Josh Li gaf aan dat de inbreuk naar schatting 20% van de accounts trof die via social logins waren aangemaakt, en voegde eraan toe dat tot op heden slechts een fractie daarvan volledig was misbruikt. Keplr schortte de Google- en Apple-aanmeldingen onmiddellijk op en startte herstelmaatregelen voor getroffen accounts.

Op 8 november 2026 hadden zowel Keplr als Web3Auth de exacte technische oorzaak van de inbreuk niet bekendgemaakt, geen precies totaalbedrag aan verliezen gepubliceerd, het aantal getroffen accounts niet bevestigd, en niet uiteengezet hoeveel geld kan worden teruggevorderd.

Waarom social logins en herstelzinnen wezenlijk verschillen

Een crypto-wallet wordt uiteindelijk beheerst door een privésleutel, en wie die sleutel in handen heeft, kan de middelen verplaatsen. De klassieke manier om die sleutel te back-uppen is een herstelzin, meestal een reeks van 12 of 24 woorden. De gebruiker schrijft die op, bewaart hem op een veilige plek, en de verantwoordelijkheid ligt volledig bij de gebruiker zelf.

Social logins bestaan omdat herstelzinnen voor nieuwkomers, eerlijk gezegd, een slechte gebruikerservaring zijn. Diensten zoals Web3Auth laten gebruikers inloggen met vertrouwde Google- of Apple-accounts. De keerzijde is dat sleutelbeheer leunt op externe infrastructuur, en wanneer die infrastructuur een gebrek heeft, kunnen de sleutels die ermee worden beheerd worden blootgesteld — wat volgens Web3Auth bij sommige gebruikers in dit geval is gebeurd.

De gemelde schade in dit incident concentreert zich op accounts die via Google- en Apple-logins zijn aangemaakt. Gebruikers die Keplr met een traditionele herstelzin hadden ingericht, stonden niet centraal in de gemelde sleutelblootstelling.

Wat dit betekent voor gebruikers en het Cosmos-ecosysteem

De directe prioriteit voor getroffen gebruikers is eenvoudig: iedereen met een Keplr-account dat via Google of Apple is aangemaakt, moet het behandelen als mogelijk blootgesteld en de herstelrichtlijnen van Keplr volgen.

De omvang onderstreept ook de rol van Keplr binnen het interchain-landschap: één wallet-applicatie die zowel chains in het Cosmos-ecosysteem als Injective bedient, wat in dit geval betekende dat één gecompromitteerd login-pad tegelijkertijd saldi op meerdere netwerken raakte.

Het cijfer van 86% na de waarschuwing is de detail om bij stil te staan. Omdat een groot deel van de verliezen plaatsvond nadat gebruikers waren gewaarschuwd, kan de snelheid waarmee wallet-aanbieders hun gebruikers tijdens een lopend incident bereiken net zo belangrijk zijn als de oplossing zelf.

De openstaande vragen blijven de aandachtspunten. Keplr en Web3Auth moeten nog de exacte technische oorzaak uitleggen, het definitieve verliestotaal en het aantal getroffen accounts bevestigen, en duidelijk maken hoeveel gebruikers kunnen verwachten terug te krijgen. Of en onder welke voorwaarden Keplr de opgeschorte Google- en Apple-loginoptie herstelt, is een andere ontwikkeling om in de gaten te houden. Tot die antwoorden er zijn, vormen de door Bitquery herleide $6,01 miljoen een ondergrens in plaats van een definitieve balans.

De onderliggende analyse werd uitvoeriger gemeld door Crypto Briefing.