Sicherheitslücke bei Web3Auth führt zu Diebstahl von Keplr-Kryptowährungen

a long row of mail boxes sitting next to each other — Jinsoo Choi / Unsplash

Eine Sicherheitslücke bei Web3Auth, einem Anbieter von Anmeldediensten, wurde ausgenutzt, um Geld aus Keplr-Kryptowährungs-Geldbörsen zu stehlen, die mit Google- oder Apple-Konten eingerichtet wurden. Keplr nutzt Web3Auth für die Anmeldung über diese Dienste.

Der Angreifer nutzte die Sicherheitslücke, um auf die Geldbörsen zuzugreifen, wie beide Unternehmen Ende der vergangenen Woche mitteilten. Web3Auth reagierte darauf, indem es die gleiche Methode des Angreifers nutzte, um andere gefährdete Geldbörsen zu leeren, bevor der Angreifer sie erreichen konnte. Das Geld wurde mit Hilfe des Geldbörsen-Anbieters in Wiederherstellungs-Geldbörsen zur Sicherung verschoben. Ein leerer Kontostand könnte daher bedeuten, dass das Geld gerettet wurde, nicht gestohlen.

Nach Angaben des Geldbörsen-Anbieters sind Geldbörsen, die mit einer Wiederherstellungsphrase oder einer Hardware-Geldbörse erstellt wurden, nicht betroffen. Google und Apple-Anmeldungen wurden vorübergehend deaktiviert, während die Untersuchung läuft. Der Anbieter arbeitet auch an einer Möglichkeit für Benutzer, zu überprüfen, ob ihr Konto betroffen war.

Web3Auth beschrieb das Problem als eine Sicherheitslücke in seiner eigenen Infrastruktur, die bestimmte Geldbörsen in der Keplr-Anwendung betraf. Keplr ging weiter und sagte, dass die Lücke zu einem Diebstahl von privaten Schlüsseln für einige Benutzer führte, die sich mit Google oder Apple anmeldeten. Ein privater Schlüssel ist der geheime Code, der Zahlungen aus einer Geldbörse genehmigt.

Keiner der beiden Unternehmen hat angegeben, wie die Lücke funktionierte, wann der Angreifer sie zuerst nutzte oder ob diese Methode jetzt geschlossen ist. Josh Lee, ein Mitbegründer von Keplr, schätzte in seinen ersten Erkenntnissen, dass etwa 20 Prozent der Google- und Apple-Anmeldungskonten betroffen waren, wobei nur ein Teil davon tatsächlich ausgenutzt wurde.

Die Sicherheitsfirma GoPlus meldete, dass mindestens etwa 1 Million Dollar gestohlen wurden, erklärte aber nicht, wie sie zu dieser Zahl kam. Die Blockchain-Datenanalyse-Firma Bitquery zählte mindestens 6,01 Millionen Dollar, die von mehr als 44.000 Geldbörsen in die Wiederherstellungs-Geldbörsen flossen. Die erste dieser Überweisungen erfolgte 21 Minuten vor der ersten öffentlichen Mitteilung des Anmeldedienstes. 86 Prozent der Geldbörsen wurden geleert, nachdem der Geldbörsen-Anbieter Benutzer warnte.

Web3Auth teilte mit, dass die Lücke auch seine Dienste betrifft, die von einigen anderen Unternehmen genutzt werden, benannte aber nur Keplr. Der Anbieter wurde im Juni 2025 von Consensys, dem Unternehmen hinter der MetaMask-Geldbörse, erworben. Consensys teilte mit, dass die erste Untersuchung "keine Hinweise darauf ergab, dass MetaMask-Benutzer betroffen sind".