Une faille chez Web3Auth compromet des portefeuilles Keplr créés avec Google ou Apple

Keplr a suspendu samedi les connexions via Google et Apple après la découverte de transactions suspectes sur des portefeuilles créés avec ces services. La faille vient de Web3Auth, le fournisseur chargé de générer et de gérer les clés privées. Environ 44 700 clés ont été exposées.

Keplr ferme la porte aux connexions Google et Apple

Le 7 novembre, Keplr alerte ses utilisateurs après avoir détecté des transactions non autorisées sur des comptes créés avec Google ou Apple. La plateforme suspend immédiatement ces deux méthodes de connexion et recommande aux utilisateurs de ne pas transférer de fonds, de ne pas réimporter leurs comptes et de se méfier des prétendus messages de récupération.

L’alerte intervient quelques heures après une décision de Web3Auth. Le 6 novembre à 21 h 13 UTC, le fournisseur suspend son service de portefeuilles intégrés à la suite d’un incident de sécurité. L’entreprise, qui appartient à Consensys, précise toutefois qu’aucun utilisateur de MetaMask n’est concerné.

De son côté, Josh Lee, cofondateur de Chainapsis, la société derrière Keplr, écarte l’hypothèse d’une faille interne. Selon lui, le problème vient directement de Web3Auth et toucherait environ 20 % des comptes connectés via les réseaux sociaux.

La distinction est importante : les utilisateurs qui ont créé leur portefeuille avec une phrase de récupération ou un hardware wallet ne sont pas concernés. En revanche, ceux qui se connectent avec Google ou Apple dépendent d’un mécanisme externe pour reconstruire leur clé privée. Autrement dit, leur sécurité repose aussi sur celle de leur prestataire. Le confort a parfois un prix.

Six millions de dollars déplacés, tout n’a pas disparu

D’après l’analyse on-chain de Bitquery, environ 6,01 millions de dollars ont circulé entre le 6 et le 7 novembre. Les mouvements concernent plusieurs réseaux, notamment Cosmos Hub, Osmosis, Celestia, Akash, Noble, dYdX, Babylon et Injective.

Cosmos Hub arrive en tête avec près de 3,50 millions de dollars de transferts. Osmosis suit avec 1,04 million, devant Injective et ses 615 000 dollars.

Cependant, ces 6 millions ne correspondent pas nécessairement à des fonds volés. Dimanche, Web3Auth a communiqué douze adresses de récupération contenant des actifs mis à l’abri pour les utilisateurs de Keplr. Leur solde atteint environ 5,6 millions de dollars, soit 93,2 % des flux recensés par Bitquery.

La différence laisse apparaître une perte nette estimée à 410 000 dollars. Attention toutefois : ce calcul reste approximatif, car les deux analyses ne couvrent pas exactement les mêmes périmètres ni les mêmes périodes. Web3Auth conteste également le montant global.

Bitquery dénombre par ailleurs environ 44 700 clés privées distinctes. La perte médiane par portefeuille atteint seulement 1,34 dollar, même si le plus gros transfert approche les 325 000 dollars. Plus inquiétant, 86 % des portefeuilles touchés sur sept réseaux ont enregistré des mouvements après l’alerte de Keplr.

Enfin, près de 1,96 million d’ATOM en staking ont également changé de position sans attendre le délai habituel de déblocage de 21 jours, grâce au staking liquide.

Une opération de sauvetage qui soulève des questions

La récupération des fonds n’a pas simplifié la situation. Web3Auth explique avoir organisé des opérations de secours en empruntant le même mécanisme que celui utilisé par l’attaquant.

Résultat : pendant plusieurs heures, certains utilisateurs ont vu leurs actifs quitter leur portefeuille sans savoir s’il s’agissait d’un vol ou d’une opération de récupération. Difficile de garder son sang-froid quand ses cryptos prennent la porte sans prévenir.

Cette méthode révèle surtout une faiblesse structurelle. Web3Auth conserve la capacité de signer des transactions pour le compte de ses utilisateurs, y compris pendant une crise de sécurité. La récupération dépend donc largement de la rapidité et de la coordination des équipes techniques.

Pour l’instant, ni Web3Auth ni Keplr n’ont communiqué de calendrier précis pour rétablir les connexions sociales ou indemniser les victimes.

L’affaire rappelle une règle fondamentale de l’écosystème crypto : contrôler ses actifs implique aussi de contrôler ses clés. Car lorsqu’un prestataire rencontre un problème, la promesse du portefeuille non custodial peut rapidement perdre de sa substance. Comme le montrent d’autres affaires liées à la garde des clés et au contrôle des fonds, la simplicité d’utilisation ne garantit pas toujours l’indépendance.