Keplr Wallet heeft de inlogfunctionaliteit via Google en Apple opgeschort nadat gebruikers ongeautoriseerde cryptotransacties meldden, waarbij vroege schattingen erop wijzen dat ongeveer 20% van de accounts die via social authenticatie zijn aangemaakt kwetsbaar kan zijn.

Het incident van 7 november heeft wallets in het gehele Cosmos-ecosysteem getroffen, waarbij communityonderzoekers gestolen activa meldden die betrokken waren bij Injective, Osmosis en Cosmos Hub. De eerste verlieschattingen kwamen boven de $700.000 uit, hoewel daaropvolgende onafhankelijke tracking op aanzienlijk grotere uitstroom duidt. Keplr heeft nog geen officieel verliestotaal bevestigd.

Het beveiligingsprobleem is ontstaan bij Web3Auth, de externe authenticatieprovider die de social login van Keplr mogelijk maakt. Beide bedrijven onderzoeken de inbreuk, en Keplr heeft getroffen gebruikers gewaarschuwd geen extra activa te storten en hun wallets niet opnieuw aan te maken.

Medegrondlegger schat dat 20% van de social-login-accounts mogelijk is blootgesteld

Keplr bevestigde de ongeautoriseerde transacties met Google- en Apple-accounts in een officiële verklaring op X, waarbij die wallets werden onderscheiden van accounts die via conventionele herstelzinnen of hardware-apparaten zijn aangemaakt. Het bedrijf zei dat uit het voorlopige onderzoek geen bewijs is gekomen dat die andere wallettypen door het Web3Auth-incident zijn gecompromitteerd.

Chainapsis-medegrondlegger Josh Lee, wiens bedrijf Keplr ontwikkelt, gaf aanvullende details en schatte dat ongeveer 20% van de social-login-accounts getroffen kan zijn. Hij benadrukte echter dat slechts een fractie van de mogelijk kwetsbare accounts lijkt te zijn misbruikt, waardoor het herstel van toegang tot de overige accounts nog mogelijk is. Lee verduidelijkte ook dat het incident niet voortkwam uit een kwetsbaarheid in de eigen applicatiecode van Keplr.

Het social authenticatiesysteem van Keplr is afhankelijk van de infrastructuur voor gedistribueerde sleutelgeneratie van Web3Auth, een cryptografisch ontwerp dat sleutelmateriaal verdeelt over meerdere partijen, zodat geen enkel apparaat of server ooit een volledige privésleutel bevat. Hiermee kunnen gebruikers crypto-wallets aanmaken via bestaande Google- of Apple-accounts in plaats van handmatig herstelzinnen te beheren, een aanpak die al lang wordt gepresenteerd als vereenvoudiging van de onboarding voor gebruikers die nieuw zijn in self-custody. De beveiligingsarchitectuur van de wallet genereert privésleutels via Web3Auth en slaat versleutelde referenties lokaal op. Het gemak van dat ontwerp koppelt de walletbeveiliging echter aan de infrastructuur van een externe provider. Het exacte mechanisme dat de ongeautoriseerde transacties mogelijk maakte, is niet vrijgegeven.

Web3Auth schort diensten op naarmate verlieschattingen stijgen

Web3Auth erkende een beveiligingsincident dat externe integraties trof op 6 november en schakelde zijn embedded walletdienst tijdelijk uit. Het bedrijf plaatste zijn login-infrastructuur vervolgens in onderhoud, waarmee het bevestigde dat voorzorgsmaatregelen werden genomen. Web3Auth, dat in 2025 werd overgenomen door MetaMask-ontwikkelaar Consensys, zei dat uit het eerste onderzoek geen bewijs is gekomen dat MetaMask-gebruikers zijn getroffen.

Ondertussen hebben onafhankelijke communityonderzoekers verdachte bewegingen gevolgd betreffende ATOM-, OSMO- en INJ-tokens, waarbij sommige schattingen nu uitkomen op enkele miljoenen dollars. Noch Keplr noch Web3Auth heeft die cijfers geverifieerd of het aantal getroffen gebruikers bekendgemaakt.

Deze zaak volgt op een reeks recente aanvallen op externe crypto-infrastructuur. Op 29 oktober kreeg Polymarket te maken met een wallet-draining-exploit van $2,7 miljoen nadat kwaadaardige JavaScript via een gecompromitteerde monitoringprovider in de handelsinterface terechtkwam. Los daarvan waarschuwde BTCPay Server operators voor ongeautoriseerde opnames uit hot wallets als gevolg van kwetsbare software-installaties. Samen genomen laten deze incidenten zien dat aanvallers steeds vaker de externe infrastructuur aanvallen waar crypto-producten van afhankelijk zijn — monitoringtools, betalsoftware, authenticatiediensten — in plaats van de kerncode van de applicaties.

Keplr heeft gebruikers die hun wallets via Google- of Apple-authenticatie hebben aangemaakt opgedragen geen extra geld naar die accounts te sturen of ze niet opnieuw te importeren in andere applicaties zolang het onderzoek loopt. Het team waarschuwde ook voor ongevraagde hulp bij herstel, frauduleuze supportberichten en verdachte links die beweren gestolen geld terug te halen; nadere informatie is beschikbaar in het helpcenter.

Er is nog geen compensatieplan of tijdlijn aangekondigd voor het herstel van de social login-functionaliteit. Het onderzoek loopt terwijl Keplr en Web3Auth werken aan het identificeren van getroffen accounts, het vaststellen van de aanvalsmethode en het beoordelen van mogelijke herstelopties. Voorlopig kijken waarnemers uit naar drie dingen die geen van beide bedrijven tot nu toe heeft geleverd: een bevestigde aanvalsmethode, geverifieerde verliescijfers en een tijdlijn voor het weer online brengen van social logins.

Dit artikel verscheen oorspronkelijk op Crypto Adventure.