Keplr a temporairement suspendu les connexions via Google et Apple après des signalements de « transactions non autorisées » sur des portefeuilles créés par ces voies. Selon Web3Auth, la faille a exposé des clés et le service dit avoir déplacé environ 5,6 millions de dollars vers des adresses de récupération pour protéger des fonds.
Sommaire
Que s’est-il passé et qui l’a confirmé ?
Keplr a indiqué avoir reçu des rapports de transactions non autorisées affectant certains comptes créés via les options de connexion Google ou Apple, et a demandé aux utilisateurs de ces « social logins » d’arrêter d’y déposer des fonds, selon des comptes rendus publiés par la presse spécialisée.
Web3Auth, qui fournit la couche d’authentification utilisée pour ces connexions, a reconnu un incident et a déclaré avoir transféré environ 5,6 millions de dollars vers des adresses de récupération pour protéger des actifs, tandis que la firme d’analyse on-chain Bitquery a tracé près de 6 millions de dollars sortis de plus de 44 000 portefeuilles avant l’opération, d’après les communiqués et analyses relayés publiquement.
Qui est concerné et quelles sont les limites du risque ?
Les comptes créés avec une phrase de récupération ou un portefeuille matériel ne sont pas concernés, ont précisé les mêmes comptes rendus citant Keplr et Web3Auth. Les portefeuilles impactés sont ceux liés aux connexions sociales (Google/Apple) fournies via Web3Auth.
Pour les détenteurs concernés, la recommandation rapportée est simple : ne plus envoyer de fonds sur ces comptes et suivre les messages officiels de Keplr et Web3Auth avant toute action.
Comment une telle exposition a-t-elle pu se produire ?
Les explications publiques pointent la couche « social login » comme un point centralisé qui gère des clés privées pour l’utilisateur, et une erreur ou une faille côté fournisseur peut donc exposer ces clés, selon des analyses techniques et articles de fond consultés cette semaine.
Des précédents évoquent des attaques de type « blind message » ou des problèmes d’implémentation de la gestion des clés qui rendent possible une extraction ou un mouvement non autorisé de fonds lorsque l’infrastructure sous-jacente est compromise.
Que faire maintenant si vous êtes concerné ?
- Ne versez plus de fonds sur un portefeuille créé via Google/Apple tant que Keplr n’a pas confirmé que le service est rétabli.
- Si possible, créez un nouveau portefeuille avec une phrase de récupération ou un portefeuille matériel et transférez-y vos avoirs après vérification.
- Suivez les annonces officielles de Keplr et de Web3Auth et surveillez les adresses de récupération mentionnées dans les analyses publiques.
Contexte et précédents
Les alertes autour des « social logins » ne sont pas nouvelles : des chercheurs et des services de sécurité avaient déjà souligné que l’abstraction des clés privées derrière OAuth-type rend ces systèmes pratiques mais aussi vulnérables à un point de défaillance unique.
Ce cas met en lumière la balance entre facilité d’usage et exposition centralisée des clés, un débat régulièrement soulevé dans les articles techniques et les analyses on-chain partagées par des firmes comme Bitquery.
Que surveiller ensuite ?
Vérifiez les communications officielles de Keplr pour la réactivation des logins Google/Apple et les explications techniques détaillées de Web3Auth. Les enquêtes on-chain publiées par des sociétés d’analyse permettront d’établir l’ampleur réelle des mouvements et des adresses impliquées.
Pour une mise en pratique, relisez nos conseils de sécurité et les bonnes pratiques pour protéger vos clés, et consultez des guides techniques si vous utilisez des services d’authentification tiers.
Liens internes utiles pour en savoir plus sur la sécurité des portefeuilles :
Voir aussi notre article sur Wrench attacks pour les risques physiques et numériques, et sur Gnosis Pay pour un précédent de fuite de données.
En résumé, si vous avez créé votre portefeuille Keplr via Google ou Apple, évitez les transferts jusqu’à nouvel ordre et privilégiez une phrase de récupération ou un wallet matériel pour vos avoirs principaux.
Sources
- Journal du Coin — rapport initial et résumé de l’incident Keplr/Web3Auth.
- Web3Auth public statements and on-chain analyses (via press) — déclaration de déplacement de fonds vers des adresses de récupération et précision sur les 5,6 M$.
- Bitquery analysis (relayed in coverage) — estimation proche de 6 M$ extraits de plus de 44 000 portefeuilles.
Articles similaires
- Piratage Mercado Bitcoin : comment vérifier les allégations
- Gnosis Pay : fuite de données sur son ancien système de carte
- Cryptomonnaies : investir sans mettre son épargne en danger
- Abus de procuration sur compte bancaire : quels recours pour se protéger ?
- Hacks crypto : la Corée du Nord a volé 9,6 milliards $
Jean-Paul Leroy est un spécialiste des marchés immobiliers et des stratégies d’investissement. Il apporte une vision experte des tendances du secteur.
