Veille menaces / Attaque
Keplr : une faille chez le fournisseur de connexion Web3Auth expose les clés des portefeuilles créés avec Google et Apple
Le 6 novembre, Web3Auth a mis son service de connexion en maintenance « en raison d'un incident de sécurité ». Keplr, un portefeuille crypto de l'écosystème Cosmos qui utilise Web3Auth pour la connexion par Google et Apple, a signalé des transactions non autorisées sur certains de ces comptes et suspendu ces deux modes de connexion. Web3Auth a ensuite utilisé le même chemin d'accès pour déplacer les fonds des portefeuilles encore exposés vers des portefeuilles de récupération : au moins 6,01 M$ depuis environ 44 700 portefeuilles, selon Bitquery. Aucune des deux entreprises n'a dit combien l'attaquant a pris ni comment la faille fonctionnait.
- Secteur
- Finance
- Point d'entrée
- Fournisseur
- Produit ou fournisseur
- Keplr, Web3Auth
- Comment c'est arrivé
- Par le fournisseur de connexion de Keplr : Web3Auth décrit un problème de sécurité dans sa propre infrastructure touchant certains portefeuilles qu'il fournit dans l'application Keplr, et Keplr parle d'une fuite de clés privées pour certains utilisateurs connectés avec Google ou Apple. Le cofondateur de Keplr, Josh Lee, affirme qu'il ne s'agit pas d'un piratage du code de Keplr. Le fonctionnement de la faille n'est pas public.[2][4] Vérifié le 9 nov. 2026
- Ce qui a été volé
- Des cryptoactifs de certains portefeuilles Keplr créés avec une connexion Google ou Apple. Le montant pris par l'attaquant n'est pas public : GoPlus parle d'au moins 1 million de dollars environ, sans expliquer ce chiffre. Les 6,01 M$ comptés par Bitquery sont surtout des fonds que Web3Auth dit avoir mis à l'abri, pas un vol confirmé.[2][3] Vérifié le 9 nov. 2026
- Qui est touché
- Les utilisateurs de Keplr dont le portefeuille a été créé avec une connexion Google ou Apple : environ 44 700 de ces portefeuilles ont vu leurs fonds déplacés, et selon une première estimation de Josh Lee, environ 20 % de ces comptes sont touchés, dont une partie seulement exploitée. Les portefeuilles créés avec une phrase de récupération ou un portefeuille matériel ne sont pas concernés. Web3Auth indique que d'autres entreprises utilisent les services touchés mais ne cite que Keplr ; il dit n'avoir trouvé aucun élément montrant que des utilisateurs de MetaMask soient touchés.[2][3][4] Vérifié le 9 nov. 2026
- Acteur
- Non attribué
Chronologie
- Web3Auth met son service de connexion en maintenance « en raison d'un incident de sécurité ». Le premier transfert depuis des portefeuilles Keplr touchés a lieu à 20 h 52 UTC, 21 minutes avant la première annonce publique de Web3Auth, selon Bitquery. Web3Auth dit avoir lancé une récupération préventive des portefeuilles exposés mais pas encore vidés. [1][3]
- Keplr annonce avoir reçu des signalements de transactions non autorisées sur certains comptes créés avec une connexion Google ou Apple. Il suspend ces deux connexions et demande de ne pas envoyer de nouveaux fonds et de transférer les fonds disponibles vers un portefeuille à phrase de récupération ou un portefeuille matériel. Selon Bitquery, 86 % des portefeuilles ont été vidés après cet avertissement. [2][3][4]
- Web3Auth publie la liste de ses adresses de récupération et indique que certains transferts ont été pris à tort pour l'action de l'attaquant. Bitquery corrige sa première analyse, qui comptait ces transferts comme un vol, et dit ne pas pouvoir vérifier qui contrôle les portefeuilles de récupération. Aucune source n'attribue l'attaque. [3][4][5]
- Aucune des deux entreprises n'a expliqué la faille, dit si elle était corrigée, ni comment et quand les fonds déplacés seront rendus. [2][4]