Une faille de Web3Auth exploitée pour voler des cryptomonnaies Keplr, le fournisseur vide d'autres portefeuilles pour la sécurité

Des utilisateurs qui ont créé un portefeuille de cryptomonnaies Keplr avec leurs comptes Google ou Apple ont eu de l'argent volé par un attaquant qui a exploité une faille de sécurité chez Web3Auth, la société qui gère ces connexions pour Keplr.

Web3Auth a utilisé la même route d'accès que l'attaquant pour vider d'autres portefeuilles à risque avant que l'attaquant ne les atteigne, selon la déclaration de la société. Elle a transféré cet argent, avec l'aide du fabricant du portefeuille, vers des portefeuilles de récupération pour la sécurité. Un solde vide peut donc signifier que l'argent a été sauvé plutôt que volé.

Les portefeuilles créés avec une phrase de récupération ou un portefeuille matériel ne sont pas affectés, a déclaré le fabricant du portefeuille. Il a suspendu les connexions Google et Apple pendant qu'il enquête. Web3Auth a publié une liste d'adresses de récupération pour aider les utilisateurs à distinguer ses transferts des transferts potentiellement malveillants.

Keplr a déclaré que la faille a entraîné une « violation de clé privée » pour certains utilisateurs qui se sont connectés avec Google ou Apple. Une clé privée est le code secret qui approuve les paiements depuis un portefeuille, donc quiconque la détient peut déplacer l'argent. Ni l'une ni l'autre entreprise n'a expliqué comment la faille fonctionnait ou si cette route est maintenant fermée.

Josh Lee, cofondateur de Keplr, a estimé qu'environ 20 pour cent des comptes de connexion Google et Apple ont été affectés, et seulement une fraction de ceux-ci semblaient avoir été exploités. GoPlus, une société de sécurité Web3, a déclaré qu'au moins environ 1 million de dollars avaient été volés, sans expliquer comment elle a atteint ce chiffre.

Bitquery, une entreprise de données de chaîne de blocs, a compté au moins 6,01 millions de dollars se déplaçant de plus de 44 000 portefeuilles vers les portefeuilles de récupération avant la fin de la semaine dernière. Le premier de ces transferts a eu lieu 21 minutes avant le premier avis public du fournisseur de connexion. La plupart des portefeuilles, 86 pour cent, ont été vidés après que le fabricant du portefeuille ait averti les utilisateurs.

Web3Auth a déclaré que le problème affecte ses services utilisés par d'autres entreprises, mais Keplr est la seule qu'elle a nommée. Elle a suspendu son service de portefeuille intégré, que d'autres applications utilisent pour créer des portefeuilles pour leurs utilisateurs. Consensys, la société derrière le portefeuille MetaMask, a acheté le fournisseur de connexion en juin 2025. Elle a déclaré qu'aucune preuve n'indique que les utilisateurs de MetaMask sont affectés.