Des portefeuilles Keplr à connexion sociale touchés par une faille de sécurité de Web3Auth

Une faille de Web3Auth touche certains portefeuilles Keplr à connexion sociale

Certains utilisateurs de Keplr ayant créé un portefeuille via une connexion Google ou Apple ont été touchés par une faille de sécurité dans l’infrastructure fournie par Web3Auth. L’incident n’est pas présenté comme une compromission générale de tous les portefeuilles Keplr : l’exposition signalée concerne un mode particulier de création de portefeuille. Keplr affirme que les comptes créés à l’aide d’une phrase de récupération ou d’un portefeuille matériel ne présentent aucun risque, établissant ainsi une distinction claire entre les comptes à connexion sociale et ces autres configurations de portefeuille.

Web3Auth fournit des outils de connexion qui permettent aux applications de créer des portefeuilles crypto via des comptes de réseaux sociaux. Le 6 novembre, l’entreprise a suspendu son service de portefeuille intégré et placé son service de connexion en maintenance. Elle a d’abord indiqué ne constater aucun signe d’impact sur les utilisateurs de MetaMask, qui avaient été concernés par un incident de sécurité distinct en octobre. Le lendemain, Web3Auth a attribué la faille à sa propre infrastructure et confirmé que certains portefeuilles Keplr étaient touchés.

À la suite de la confirmation, Keplr a désactivé les connexions via Google et Apple. Cette mesure limite l’utilisation des options de connexion concernées, mais les informations fournies n’indiquent ni quand elles seront rétablies ni si tous les comptes touchés ont été sécurisés. Bitquery a recensé environ 44 700 portefeuilles Keplr concernés sur huit chaînes basées sur Cosmos. L’ampleur de l’incident s’étend à plusieurs réseaux, mais ce chiffre ne permet pas, à lui seul, d’établir combien chaque utilisateur a perdu ni si tous les portefeuilles recensés ont été vidés.

Comment l’incident a affecté les utilisateurs de Keplr

Bitquery a attribué plus de 6 millions de dollars aux fonds dérobés et indiqué que la perte individuelle la plus importante s’élevait à environ 325 000 dollars. Ces chiffres décrivent l’activité on-chain identifiée lors de son suivi ; ils ne doivent pas être interprétés comme un bilan définitif des pertes des utilisateurs. Web3Auth affirme que certaines adresses considérées comme des portefeuilles d’attaquant sont en réalité ses portefeuilles de récupération. Le montant total annoncé pourrait donc inclure des fonds transférés sous garde à des fins de protection, même si l’entreprise n’a pas chiffré cette part.

La chronologie est importante pour comprendre la réponse à l’incident. Web3Auth affirme avoir lancé une opération de hackers éthiques avec des partenaires et transféré les fonds hors des portefeuilles vulnérables avant que l’attaquant ne puisse les atteindre, en empruntant la même voie d’accès. Sans les explications de l’entreprise, les transferts depuis ces portefeuilles pourraient donc ressembler à des vols. L’entreprise affirme que les adresses de destination qu’elle a identifiées appartiennent à son opération de récupération, mais la source ne fournit pas de relevé complet des transferts, transaction par transaction.

Le 8 novembre, Web3Auth a publié des adresses vérifiées pour Injective, dYdX, Babylon, Axelar, Saga, Agoric et huit chaînes EVM. Plusieurs de ces adresses partagent une clé avec des portefeuilles collecteurs que Bitquery avait associés aux fonds dérobés. Ce chevauchement aide à comprendre pourquoi certaines activités ont été interprétées comme étant sous le contrôle de l’attaquant. À lui seul, il ne permet pas d’établir le statut final ni la propriété de chaque actif suivi ; Web3Auth affirme que les adresses identifiées sont utilisées à des fins de récupération.

Les portefeuilles de récupération compliquent le tableau on-chain

Web3Auth affirme que les fonds récupérés grâce à l’opération sont en sécurité et qu’elle travaille avec Keplr pour trouver un moyen de les restituer. Elle n’a pas précisé quelle part du montant total suivi par Bitquery elle a sécurisée ; les utilisateurs et les observateurs ne peuvent donc pas encore rapprocher le chiffre de plus de 6 millions de dollars des fonds conservés en lieu sûr. Les efforts de récupération annoncés sont encourageants pour les utilisateurs concernés, mais le montant, le calendrier et la procédure exacte de distribution restent incertains au vu des informations disponibles.

Cet épisode montre également pourquoi les libellés des transferts de portefeuille peuvent être difficiles à interpréter pendant un incident en cours. Un transfert depuis une adresse vulnérable peut correspondre à une action de l’attaquant ou à une mesure de protection prise par une équipe d’intervention ; dans ce cas, Web3Auth indique que son équipe a utilisé la même voie d’accès que l’attaquant. La publication des adresses vérifiées permet d’identifier certains portefeuilles de récupération, mais elle ne remplace pas un relevé plus complet et ne confirme pas la destination de chaque solde concerné.

Web3Auth a mis en garde les utilisateurs contre les usurpateurs qui proposent une fausse aide à la récupération. Cet avertissement est utile dans une situation où les utilisateurs attendent une procédure officielle de restitution et peuvent être sollicités par des personnes affirmant pouvoir récupérer leurs fonds. L’entreprise indique qu’elle coordonne ses efforts avec Keplr, mais la source ne fournit ni consignes précises de récupération ni échéance. Les utilisateurs doivent distinguer l’opération de récupération annoncée des offres non sollicitées, plutôt que de considérer une affirmation informelle comme une preuve d’accès aux fonds.

Récupération des fonds et questions de sécurité plus générales

La réponse de Keplr concerne également les utilisateurs qui se connectent via un réseau social plutôt qu’au moyen d’une phrase de récupération ou d’un portefeuille matériel. L’équipe du portefeuille indique que ces deux derniers types de comptes ne sont pas exposés à cet incident, tandis que les connexions via Google et Apple ont été désactivées après confirmation de la faille. Les informations ne précisent pas les mesures correctives propres à chaque compte et n’indiquent pas si les utilisateurs concernés doivent prendre des mesures supplémentaires. La distinction entre les différents modes de configuration du portefeuille constitue la consigne la plus claire fournie dans le compte rendu de l’incident.

L’incident survient après des perturbations dans l’écosystème Cosmos plus tôt dans l’année : selon le récit fourni, la fermeture de Leap Wallet a poussé de nombreux utilisateurs de Cosmos à se tourner vers Keplr. Ce contexte aide à comprendre pourquoi un problème de sécurité touchant Keplr peut concerner l’ensemble de la communauté, mais il ne permet pas d’établir que la fermeture de Leap a causé la faille ou les pertes. D’autres projets ont également cherché à rassurer les utilisateurs ; PancakeSwap a déclaré que ses fonds et ses contrats intelligents restaient en sécurité.

Le cas de Keplr s’ajoute à une série plus large d’incidents de sécurité cités dans le rapport, notamment le vol de 7,61 milliards de dollars en 2026 par des pirates informatiques nord-coréens et le récent vidage de plus de 1 400 portefeuilles Qubic par un attaquant. Ces exemples illustrent un contexte général de sécurité, sans établir de lien avec la faille de Web3Auth. Les principales questions encore sans réponse sont les suivantes : quel volume de cryptomonnaies suivies était protégé par Web3Auth, comment les actifs récupérés seront restitués et quand les options de connexion désactivées pourront reprendre en toute sécurité.

Source : BeInCrypto