Web3Auth gaat in tegen een cijfer dat zich snel verspreidde in crypto-kringen: een gemelde diefstal van $6,01 miljoen uit sociale-login wallets van Keplr. Het bedrijf zegt dat de schatting onjuist was omdat de betreffende fondsen naar geverifieerde recovery wallets zijn gegaan, en niet in de handen van een aanvaller.

Het geschil is relevant omdat het bovenop een echt securityincident ligt. Een kwetsbaarheid in de diensten van Web3Auth trof Keplr-gebruikers die inlogden met Google- en Apple-accounts, en de open vraag is hoeveel van het geld dat uit die wallets is verdwenen daadwerkelijk verloren is.

Wat er gebeurde met Keplr's sociale-login wallets

De problemen begonnen op 6 en 7 november 2026, toen fondsen begonnen weg te lekken uit Keplr-wallets die gekoppeld waren aan sociale logins. Bitquery, een blockchain-dataprovider, telde meer dan 44.041 getroffen wallets in het Cosmos-ecosysteem, naast 7.603 wallets op Injective, een op Cosmos gebaseerde chain. De uitstromen werden gemeld in de eerdere berichtgeving van CryptoBriefing over het incident.

De getroffen accounts waren accounts die vertrouwden op de infrastructuur van Web3Auth voor inloggen en sleutelbeheer.

Web3Auth bevestigde de kwetsbaarheid op 6 november en pauzeerde diezelfde dag zijn embedded wallet-dienst.

Keplr-medeoprichter Josh Lee zei dat de inbreuk voortkwam uit een fout in de diensten van Web3Auth en ongeveer 20% van de wallets trof die via Google- en Apple-logins waren aangemaakt. Op de traditionele manier aangemaakte wallets vertoonden geen tekenen van compromittering. Volgens Keplr waren accounts die met een herstelzin of hardwareapparaat waren ingericht veilig.

Voor niet-specialisten werkt het zo: een sociale-login wallet laat een gebruiker een crypto-account openen met een Gmail- of Apple ID in plaats van een herstelzin van 12 of 24 woorden op te schrijven — een reeks willekeurige woorden die dient als enige back-up voor een zelfbeheerde wallet. Een externe provider, in dit geval Web3Auth, regelt het sleutelbeheer op de achtergrond, wat de drempel verlaagt maar het vertrouwen concentreert in de infrastructuur van de provider.

Waarom het bedrag van $6,01 miljoen wordt betwist

Het bedrag van $6,01 miljoen kwam tot stand door fondsen te tellen die tijdens het incident uit getroffen wallets stroomden. Web3Auth stelt dat die telling de verkeerde transacties meenam. Het bedrijf zegt dat sommige on-chain bewegingen die als diefstal waren bestempeld in werkelijkheid beschermende "whitehat"-recoveries waren, uitgevoerd door Web3Auth en zijn partners.

De verwarring kwam door hoe die reddingsoperaties er on-chain uitzagen. De recoveryoperaties gebruikten dezelfde technische routes als de oorspronkelijke aanvallen, dus voor iedereen die naar de blockchain keek, leken een redding en een overval vrijwel identiek.

Op 8 november had Web3Auth een lijst met geverifieerde recoveryadressen gepubliceerd, elf op Cosmos gebaseerde netwerken en acht EVM-compatibele chains omvattend. Het doel was om gebruikers en analisten te laten bevestigen dat de gerecupereerde activa in wallets zijn beland die het bedrijf beheert. Naar die lijst verwijst Web3Auth ook wanneer het de schatting van $6,01 miljoen onjuist noemt: als het geld op die adressen staat, zo luidt het argument van het bedrijf, is het niet gestolen.

Alleen officiële kanalen

Zowel Web3Auth als Keplr verzochten gebruikers officiële herstelaanbiedingen te negeren en uitsluitend vertrouwen op de eigen kanalen van de bedrijven voor updates en begeleiding. Keplr adviseerde gebruikers bovendien geen nieuwe fondsen meer te storten op getroffen accounts en in de tussentijd activa naar veilige accounts te verplaatsen.

Wat dit betekent voor sociale-login wallets

Wanneer een gebruiker zijn eigen herstelzin of hardwareapparaat beheert, hangt de veiligheid vooral af van zijn eigen praktijken. Wanneer een provider de sleutels beheert, kan één enkele fout stroomopwaarts duizenden wallets tegelijk raken. De richtlijnen van Keplr benadrukten dat onderscheid, aangezien wallets met herstelzin en hardwarewallets het incident ongeschonden doorstonden.

Het geschil over het cijfer legt ook een zwakte bloot in hoe crypto-incidenten in real time worden gemeten. On-chain analytics zijn snel en transparant, maar tonen beweging, niet intentie. Een redding die een aanval weerspiegelt, wordt als aanval geteld totdat iemand met meer context iets anders zegt.

Dat snijdt twee kanten. Vroege schattingen kunnen de schade overschatten, zoals Web3Auth betoogt dat hier is gebeurd. Maar ook de eigen account van een bedrijf over het incident verdient controle, en daarom zijn de gepubliceerde recoveryadressen belangrijk: ze laten buitenstaanders de claim verifiëren in plaats van hem op geloof aan te nemen.

Over de volgende fase van het incident hangen nu twee vragen: hoeveel van de betwiste uitstroom uiteindelijk op die gepubliceerde recoveryadressen kan worden toegewezen, en of — en wanneer — de gepauzeerde embedded wallet-dienst van Web3Auth weer online komt. Beide zijn te volgen via de officiële kanalen van de bedrijven, en niet via officiële herstelaanbiedingen.

Dit artikel is gebaseerd op het bericht van CryptoBriefing.