Un hack du wallet Keplr a touché les utilisateurs ayant créé leur wallet par le biais des connexions Google ou Apple. Web3Auth affirme désormais que plusieurs adresses identifiées comme étant des wallets des attaquants sont en réalité ses propres wallets de récupération.
Cette distinction est cruciale pour des milliers d‘utilisateurs de Cosmos. La société d’analyse on-chain Bitquery a relié plus de 6 millions de dollars à ce drain. Toutefois, une partie de cette somme pourrait désormais être stockée dans les wallets que Web3Auth détient à des fins de sécurisation.
Sponsorisé
Sponsorisé
Comment le hack du wallet Keplr a touché les utilisateurs via les connexions sociales
Web3Auth fournit des outils de connexion permettant aux applications de créer des wallets crypto par le biais de comptes sur les réseaux sociaux. Le 6 novembre, lentreprise a suspendu son service de wallet intégré et mis son service de connexion en maintenance.
Initialement, l‘entreprise n’a signalé aucun impact sur les utilisateurs de MetaMask, qui avaient déjà rencontré un incident de sécurité distinct en octobre. Un jour plus tard, Web3Auth a retracé la faille jusqu‘à sa propre infrastructure et a confirmé qu’elle avait touché certains wallets Keplr.
Keplr a alors désactivé les connexions via Google et Apple. Les comptes créés avec une phrase de récupération ou au moyen d‘un hardware wallet ne courent aucun risque, indique l’équipe du wallet dans un post.
Bitquery a recensé environ 44 700 wallets Keplr affectés sur huit blockchains basées sur Cosmos. La plus grande perte individuelle sélève à environ 325 000 dollars.
Lincident a frappé un écosystème déjà perturbé cette année. Au printemps, la fermeture de Leap Wallet avait déjà poussé de nombreux utilisateurs de Cosmos vers Keplr.
Sponsorisé
Sponsorisé
Sauvetage ou vol ？ Pourquoi les adresses sont importantes
En parallèle, Web3Auth annonce avoir lancé une initiative whitehat avec ses partenaires. L‘équipe a déplacé les fonds hors des wallets vulnérables avant que l’attaquant n‘y parvienne, en utilisant la même méthode d’accès.
Certains observateurs ont confondu ces transferts avec le hack du wallet Keplr. En réponse, Web3Auth a publié les adresses vérifiées sur Injective, dYdX, Babylon, Axelar, Saga, Agoric et sur huit blockchains EVM.
Plusieurs de ces adresses partagent une clé avec des wallets de collecte associés au drain par Bitquery. Web3Auth na pas précisé la part du montant total suivie qui a été sécurisée.
Les fonds récupérés sont en sécurité, selon Web3Auth, et léquipe travaille avec Keplr pour définir une procédure de restitution. Un avertissement a aussi été émis à propos des usurpateurs qui proposent une aide frauduleuse à la récupération.
Dautres projets ont tenu à rassurer les utilisateurs. PancakeSwap, par exemple, a précisé que ses fonds ainsi que ses smart contracts restent sécurisés.
Le hack du wallet Keplr sajoute à une année noire pour la sécurité crypto. Les hackers nord-coréens à eux seuls ont dérobé 7,61 milliards de dollars en 2026. Par ailleurs, un attaquant a récemment vidé plus de 1 400 wallets Qubic.