L’incident vient de l’infrastructure de connexion sociale
Fait confirmé : Keplr a reçu des signalements de transactions non autorisées sur des portefeuilles créés avec un compte Google ou Apple. Cette fonction s’appuie sur Web3Auth pour générer et gérer les accès sans phrase de récupération lors de l’inscription.
Web3Auth a suspendu son service de portefeuilles intégrés et Keplr a désactivé les deux méthodes de connexion concernées. Les portefeuilles créés avec une phrase de récupération ou un appareil matériel ne sont pas identifiés comme le périmètre initial de l’incident.
| Information | Statut | Lecture |
|---|---|---|
| Origine dans Web3Auth | Déclaration de Keplr et Web3Auth | Enquête encore en cours |
| Comptes sociaux potentiellement exposés | Environ 20 % | Estimation préliminaire du cofondateur de Keplr |
| Actifs dans les adresses de récupération | Environ 6,01 M$ | Observation on-chain de Bitquery |
| Pertes définitives | Inconnues | Bilan non publié |
Pourquoi 6 millions de dollars déplacés ne signifient pas 6 millions volés
Bitquery avait d’abord interprété une série de mouvements comme des retraits malveillants. Après que Web3Auth a publié les adresses utilisées pour la récupération, l’entreprise d’analyse a révisé sa lecture : une partie importante des actifs aurait été déplacée par des équipes autorisées afin de devancer l’attaquant.
Donnée observée : environ 6,01 millions de dollars se trouvaient dans ces adresses au moment du relevé. Cette valeur mesure les actifs sécurisés ou en cours de sécurisation, pas le préjudice subi par les utilisateurs.
Le compromis des wallets « sans seed »
La connexion par Google ou Apple améliore l’accessibilité, mais ajoute un prestataire à la chaîne de confiance. Si l’infrastructure qui répartit ou reconstitue les clés est compromise, un attaquant peut viser les comptes sans obtenir la phrase de récupération traditionnelle, puisqu’elle n’existe pas sous cette forme.
Des fonds parfois invisibles mais pas nécessairement perdus
Certains utilisateurs peuvent constater un solde réduit parce que leurs actifs ont été transférés vers un wallet de récupération contrôlé par les équipes de sécurité. Keplr et Web3Auth doivent encore préciser les conditions de restitution, notamment pour les actifs en staking ou temporairement bloqués.
Keplr demande aux personnes concernées de ne plus alimenter leurs anciens portefeuilles sociaux. Celles qui disposent encore d’un accès doivent suivre uniquement les consignes officielles et privilégier un nouveau portefeuille créé avec une phrase de récupération ou un appareil matériel.
Ce qui reste non vérifié
Information non vérifiée : le nombre total de comptes effectivement vidés, la valeur finale des actifs volés et la proportion récupérable ne sont pas connus. L’estimation de 20 % concerne une exposition possible des comptes sociaux, pas un taux de perte.
L’enquête devra aussi déterminer si le défaut a exposé directement des clés privées, un mécanisme de reconstitution ou des autorisations intermédiaires. Sans rapport technique complet, attribuer une cause précise au-delà de l’infrastructure Web3Auth resterait spéculatif.
Attention aux fausses procédures de récupération
Les incidents de wallet déclenchent souvent des campagnes d’hameçonnage. Aucune équipe légitime ne doit demander une phrase de récupération, une clé privée ou la signature d’une transaction inconnue pour rendre les fonds.
Un test pour l’adoption grand public
Les connexions sociales visent à supprimer l’un des principaux obstacles à l’adoption : la gestion d’une phrase de récupération. L’incident montre que cette simplification déplace une partie du risque vers l’infrastructure du prestataire.
Pour les investisseurs, les prochains éléments décisifs seront le rapport d’incident, le calendrier de réactivation, le bilan des pertes et les modalités de restitution. La crédibilité de Keplr et de Web3Auth dépendra de la transparence de ces réponses.
