Web3Auth, de aanbieder van ingebouwde wallets die nu is opgegaan in MetaMask onder Consensys, heeft zijn ingebouwde walletdienst tijdelijk opgeschort nadat een kritisch beveiligingsprobleem werd geconstateerd. Het bedrijf zegt dat er geen bewijs is dat MetaMask-gebruikers zijn getroffen. Dat geldt niet voor iedereen die op de infrastructuur voortbouwt: Keplr Wallet, een veelgebruikte wallet in het Cosmos-ecosysteem, heeft zijn inlogopties via Google en Apple als reactie uitgeschakeld.

De opschorting ging in op 6 november 2026 rond 21:13 UTC. Volgens Web3Auth werd de dienst stilgelegd om de mogelijke impact van het probleem te onderzoeken. De gevolgen waren het grootst voor derden die de dienst integreerden, waarvan Keplr de belangrijkste was.

Hoe het probleem Keplr bereikte

Keplr gebruikte Web3Auth voor sociale logins, waardoor gebruikers konden inloggen met Google- en Apple-accounts in plaats van een seed phrase te beheren. Keplr meldde ongeautoriseerde transacties vanaf ongeveer 6 november, dezelfde dag waarop Web3Auth het probleem signaleerde. Na het herleiden van het probleem naar Web3Auth schakelde Keplr zijn Google- en Apple-inlogopties op 7 november uit om het risico te beperken.

De blootstelling was niet gelijkmatig verdeeld over het gebruikersbestand van Keplr. Ongeveer 20% van de Keplr-gebruikers die op sociale logins vertrouwden zou getroffen kunnen zijn, volgens cijfers die aan het incident zijn gekoppeld. Het patroon wijst erop dat de blootstelling verbonden was aan de social-login-flow zelf.

Blockchain-gegevens die aan het lek zijn gekoppeld tonen circa $6 miljoen aan uitstromen, waarbij geld werd verplaatst van meer dan 44.000 Cosmos-adressen en ongeveer 7.600 Injective-adressen. Web3Auth heeft dat verliescijfer betwist, dus de $6 miljoen moet worden gelezen als een schatting op basis van onchain-stromen in plaats van een bevestigde telling van gestolen fondsen.

Het bedrijf is ook herstelmaatregelen gestart, waaronder zogenaamde white-hat-overdrachten, die assets uit kwetsbare wallets verplaatsen naar geverifieerde adressen voordat een aanvaller erbij kan. Het definitieve bedrag dat via deze operaties is beveiligd, is nog niet bekend.

Niet iedereen werd door het incident geraakt. Trust Wallet en standaard MetaMask-accounts bleven onaangetast, en Keplr-accounts die geen sociale login gebruikten bleven eveneens gespaard.

Waarom wallets met sociale logins onder de loep worden genomen

Ingebouwde wallets met sociale login zijn ontworpen om een van de oudste gebruiksvriendelijkheidsproblemen in crypto op te lossen: de seed phrase. Sociale login laat gebruikers inloggen zoals bij elke gangbare app, terwijl een derde partij op de achtergrond het merendeel van het sleutelbeheer verzorgt zodat de gebruiker dat nooit hoeft te doen.

Veel van deze opstellingen zijn afhankelijk van multi-party computation (MPC). In eenvoudige termen verdeelt MPC de controle over een privésleutel over meerdere partijen, zodat geen enkel onderdeel op zichzelf voldoende is om fondsen te verplaatsen. Op papier spreidt dat het risico. In de praktijk laat dit incident zien dat de opstelling ook een afhankelijkheid introduceert: als de partij die een deel van het proces verzorgt een zwakke plek heeft, kan elke applicatie die erop voortbouwt die zwakte erven.

Wat dit betekent voor wallets, gebruikers en ontwikkelaars

Voor ontwikkelaars roept het incident puntsgewijs vragen op over concentratierisico. Wanneer veel wallets op dezelfde aanbieder van ingebouwde wallets zijn aangesloten, kan één probleem zich tegelijk over meerdere ecosystemen verspreiden — in dit geval zowel Cosmos- als Injective-gebruikers via één integratie. De snelle beslissing van Keplr om sociale logins uit te schakelen fungeerde als de noodrem.

Voor MetaMask en Consensys weegt de geruststelling dat MetaMask-gebruikers geen tekenen van compromise vertonen zwaar voor het verdere integratieplan.

Verschillende open vragen blijven aandacht waard. De eerste is de definitieve afrekening: of Web3Auth's betwisting van het bedrag van $6 miljoen leidt tot een wezenlijk ander cijfer. De tweede is hoeveel van de blootgestelde waarde de white-hat-overdrachten weten te beveiligen. De derde is wanneer en onder welke voorwaarden Web3Auth zijn ingebouwde walletdienst herstelt en Keplr de sociale logins weer inschakelt.

Bron: CryptoBriefing