Une faille concentrée sur les connexions Google et Apple
L’incident touche une catégorie précise d’utilisateurs de Keplr : ceux dont le portefeuille a été créé au moyen d’une connexion Google ou Apple reposant sur l’infrastructure de Web3Auth. La vulnérabilité aurait permis d’exposer les clés privées associées à certains de ces comptes.
Fait confirmé par les entreprises : Web3Auth a reconnu un problème de sécurité dans son infrastructure, tandis que Keplr a signalé des transactions non autorisées sur certains comptes utilisant cette méthode de connexion. Le service de portefeuille intégré a été suspendu pendant l’enquête.
Keplr précise que son propre code de portefeuille n’a pas été compromis. Le problème proviendrait du prestataire chargé de simplifier l’authentification et la gestion des clés pour les comptes sociaux.
| Type de compte Keplr | Situation annoncée |
|---|---|
| Connexion Google ou Apple | Potentiellement exposé |
| Phrase de récupération | Non concerné selon l’évaluation initiale |
| Hardware wallet | Non concerné selon l’évaluation initiale |
| Utilisateurs MetaMask | Aucune preuve d’impact annoncée par Web3Auth |
Web3Auth a utilisé la faille pour devancer les attaquants
Web3Auth affirme avoir lancé, avec ses partenaires, une opération de récupération dite « white hat ». L’équipe a utilisé le même chemin technique que l’attaquant afin de vider les comptes vulnérables qui n’avaient pas encore été exploités, puis de placer les actifs sur des adresses contrôlées.
Déclaration de Web3Auth : les actifs transférés par cette procédure sont sécurisés et doivent être restitués avec l’aide de Keplr. Douze adresses de récupération publiées par l’entreprise détenaient environ 5,6 millions de dollars au moment de l’analyse onchain rapportée.
Pourquoi une récupération peut-elle ressembler à un vol ?
Une blockchain révèle les adresses, les montants et le chemin des transactions, mais pas leur intention. Lorsqu’une équipe défensive utilise la même vulnérabilité qu’un attaquant pour déplacer des fonds, l’opération apparaît initialement comme une sortie non autorisée. La publication d’adresses vérifiées permet ensuite de distinguer les transferts de récupération des mouvements malveillants.
Le chiffre de 6 millions de dollars ne représente pas une perte confirmée
Une première analyse avait attribué environ 6 millions de dollars de sorties provenant de dizaines de milliers d’adresses à un voleur. Web3Auth conteste cette interprétation : plusieurs des adresses qualifiées de malveillantes feraient partie de son dispositif de récupération.
Estimation contestée : le volume total des transferts observés ne peut pas être assimilé au montant volé. Une partie des fonds a bien été déplacée vers des adresses défensives. À l’inverse, Web3Auth a évoqué un « attaquant initial », ce qui indique que de véritables vols ont probablement précédé l’intervention.
Information non vérifiée : ni Web3Auth ni Keplr n’ont communiqué de bilan définitif sur le nombre de comptes réellement exploités, la valeur des pertes ou la cause technique détaillée de l’exposition des clés.
Une partie importante des fonds récupérés se trouve sur Cosmos
La principale adresse de récupération sur Cosmos Hub détenait environ 2,49 millions d’ATOM, valorisés autour de 3,3 millions de dollars au moment du relevé. Certains actifs étaient initialement placés en staking.
Les opérations ont utilisé des mécanismes permettant de rendre transférables des positions immobilisées sans attendre la période habituelle de retrait de 21 jours. Cette méthode explique la complexité de la récupération et l’apparence inhabituelle de certaines transactions.
| Élément | État connu |
|---|---|
| Adresses de récupération publiées | 12 adresses principales annoncées |
| Valeur détenue | Environ 5,6 millions de dollars au moment du relevé |
| ATOM sur l’adresse Cosmos principale | Environ 2,49 millions d’ATOM |
| Pertes définitives | Non communiquées |
Ce que doivent faire les utilisateurs concernés
Keplr demande aux personnes ayant créé leur compte avec Google ou Apple de ne plus y envoyer de fonds. Les actifs liquides encore accessibles doivent être déplacés vers un nouveau portefeuille protégé par une phrase de récupération ou un appareil matériel, conformément aux instructions officielles.
Un solde réduit ou vide ne signifie pas nécessairement que les fonds ont été volés : ils peuvent avoir été transférés vers une adresse de récupération. Les utilisateurs doivent attendre les outils de vérification et les modalités de restitution annoncés directement par Keplr et Web3Auth.
Attention aux fausses procédures de récupération
Les incidents de wallet entraînent souvent une vague d’usurpations. Aucun service légitime ne devrait demander une phrase de récupération ou une clé privée par message privé. Les utilisateurs doivent ignorer les liens reçus spontanément et consulter uniquement les canaux officiels des entreprises.
La connexion sociale déplace le risque vers le fournisseur
Les wallets intégrés rendent le Web3 plus accessible en évitant à l’utilisateur de gérer immédiatement une phrase secrète. Cette simplicité repose toutefois sur une infrastructure supplémentaire capable de reconstruire, stocker ou sécuriser les éléments nécessaires à l’accès au portefeuille.
L’incident montre qu’un défaut chez un prestataire partagé peut exposer simultanément de nombreux comptes, même si l’application principale n’a pas été compromise. Les intégrateurs devront donc évaluer les procédures de génération des clés, les mécanismes de récupération, la segmentation des accès et les plans d’urgence de leurs fournisseurs.
Pour le secteur, la question n’est pas de rejeter systématiquement les connexions sociales, mais de rendre leur modèle de confiance compréhensible. Un portefeuille présenté comme non dépositaire peut malgré tout dépendre d’une couche technique centralisée dont la défaillance affecte la sécurité des clés.
