Keplr : Des transactions non autorisées touchent des portefeuilles créés via Google ou Apple
Des transactions non autorisées et des fonds déplacés par précaution. Keplr a suspendu le 7 novembre les connexions via Google et Apple après des signalements de transactions non autorisées. L’incident concerne des portefeuilles créés avec le service d’authentification Web3Auth. En parallèle, les équipes ont mis des fonds à l’abri. Bitquery a retracé environ 6 millions de dollars vers des adresses de récupération, tandis que le montant effectivement dérobé reste inconnu.
Les points clés de cet article
- Keplr a suspendu les connexions Google et Apple après un incident chez son prestataire Web3Auth.
- Bitquery a recensé environ 44 700 portefeuilles distincts dans son analyse des transferts de sécurisation.
- Les 6,01 millions de dollars recensés par Bitquery correspondent à des fonds dirigés vers des adresses de récupération identifiées par Web3Auth.
- Selon Keplr, les portefeuilles créés avec une phrase de récupération ou reliés à un appareil matériel échappent au périmètre de l’incident.
L’incident touche les portefeuilles créés via Google ou Apple
Keplr propose à ses utilisateurs de créer un portefeuille à partir d’un compte Google ou Apple. Cette option s’appuie sur Web3Auth, un prestataire qui permet de configurer un portefeuille sans avoir à gérer une phrase de récupération lors de sa création. Après les premiers signalements, Web3Auth a suspendu son service de portefeuilles intégrés et Keplr a désactivé les deux modes de connexion concernés.
Josh Lee, cofondateur de Keplr, situe l’origine de l’incident dans l’infrastructure de Web3Auth. Selon son estimation préliminaire, environ 20 % des comptes Keplr créés via Google ou Apple pourraient avoir été exposés. Il estime qu’une fraction seulement de ces comptes a subi des opérations malveillantes.
Pourquoi un solde vide peut correspondre à une mise à l’abri
Web3Auth et Keplr ont transféré des actifs vers des portefeuilles sécurisés pour les soustraire à l’attaquant. Bitquery avait d’abord interprété ces mouvements comme des vols. L’entreprise a révisé son analyse après la publication, le 8 novembre, de la liste des adresses de récupération. Celles-ci détenaient environ 6,01 millions de dollars au moment du relevé de Bitquery, le 7 novembre.
Keplr demande aux utilisateurs concernés de ne plus alimenter ces portefeuilles. Ceux qui y ont encore accès peuvent, selon les consignes de l’équipe, déplacer leurs actifs disponibles vers un portefeuille créé avec une phrase de récupération ou un appareil matériel. Les actifs bloqués ou placés en staking demandent davantage de temps à traiter.
Les équipes de Keplr et de Web3Auth doivent encore établir le bilan des pertes et préciser les modalités de restitution des fonds mis à l’abri. Les 6,01 millions de dollars retracés par Bitquery donnent une mesure de l’opération de sécurisation en cours. Décidément, l’automne est compliqué pour les solutions de stockage de toutes sortes.
Ben Canton
Avec une formation en littérature et en langues, j’aime mêler l’analyse rigoureuse au goût des idées pour décrypter les grands enjeux économiques et (géo)politiques liés aux cryptomonnaies. Depuis 2021, j’écris pour le Journal du Coin où je me concentre sur des sujets comme le Bitcoin, les MNBC, la tokenisation des RWA et plus largement les mutations stratégiques du Web3. Lecteur passionné, curieux du monde et des rapports de pouvoir qui le structurent, je m’efforce de rendre ces thématiques accessibles à tous, avec une attention particulière pour les projets pensés pour le grand public.