Keplr : la connexion Google ouvre une brèche, Web3Auth vide les wallets avant le pirate
Une faille chez Web3Auth, propriété de Consensys, a exposé les clés privées de comptes Keplr créés via Google ou Apple. Le prestataire a « frontrunné » l’attaquant en déplaçant environ 6 millions de dollars vers des adresses de récupération.
Sommaire
Se connecter à son wallet avec son compte Google, comme on ouvre Spotify : la promesse était belle. Ce week-end, elle a coûté cher à une partie des utilisateurs de Keplr.
Vendredi 6 novembre, Web3Auth, le service qui gère la connexion par Google et Apple de nombreuses applications crypto, a mis en pause ses « embedded wallets » en évoquant un « problème de sécurité affectant des services Web3Auth utilisés par certains tiers », selon son message sur le forum développeurs de MetaMask. Dans la foulée, Keplr, le wallet phare de l’écosystème Cosmos, a confirmé que des clés privées de comptes créés via Google ou Apple avaient été exposées, et que des utilisateurs signalaient des transactions qu’ils n’avaient jamais signées.
« Ce n’est pas un hack du code de Keplr »
Le cofondateur de Keplr, Josh Lee, s’est empressé de tracer la ligne de responsabilité sur X : « Ce n’était pas un hack du code de Keplr. L’incident trouve son origine chez Web3Auth, un prestataire que Keplr utilise. » Il estime qu’environ 20 % des comptes Keplr ouverts par connexion sociale sont concernés, et qu’une fraction seulement d’entre eux a réellement été vidée par l’attaquant, rapporte The Block. Keplr revendiquait plus de 2 millions d’utilisateurs en 2025.
Les comptes créés avec une phrase de récupération classique ou un hardware wallet ne sont pas touchés. Ce qui en dit long sur le compromis de départ : la connexion sociale repose sur un tiers qui reconstitue la clé pour vous. Quand ce tiers flanche, l’utilisateur n’a plus vraiment la main.
Le détail qui pique : Web3Auth appartient à Consensys, la maison mère de MetaMask, depuis son rachat en juin 2025, et le service est désormais commercialisé sous le nom de MetaMask Embedded Wallets. Web3Auth assure n’avoir trouvé « aucune preuve » que les utilisateurs de MetaMask soient affectés.
6 millions de dollars « volés »… par les sauveteurs
C’est là que l’histoire prend un tour inattendu. Samedi, Web3Auth a annoncé avoir lancé, avec ses partenaires, des opérations de récupération « whitehat » sur les wallets vulnérables que l’attaquant n’avait pas encore atteints, en empruntant « le même chemin que l’attaquant d’origine ». En clair : la faille a servi à vider les comptes avant le pirate. On appelle ça du frontrunning, passer devant quelqu’un dans la file des transactions, et pour une fois il est pratiqué au bénéfice des victimes.
Résultat, les chiffres qui circulaient ont dû être revus. La société d’analyse Bitquery avait d’abord évoqué environ 6 millions de dollars dérobés, avant de rectifier dimanche : les deux adresses qu’elle suivait figuraient sur la liste officielle des portefeuilles de récupération. Selon son décompte, au moins 44 041 wallets Keplr sur sept chaînes Cosmos et 7 603 sur Injective ont envoyé leurs fonds vers ces adresses, qui détenaient 6,01 millions de dollars samedi après-midi, détaille Cybersixt. The Block comptait de son côté environ 5,6 millions de dollars sur les 12 adresses publiées par Keplr dimanche matin, réparties entre Cosmos Hub, Osmosis, Celestia, Injective, dYdX ou encore Noble, plus une adresse EVM.
Keplr a d’ailleurs prévenu que certains comptes pouvaient afficher un solde réduit, voire nul, « du fait de ces efforts d’atténuation ». Un solde vide ne prouve donc rien à lui seul : il faut regarder vers quelle adresse les fonds sont partis.
Ce que l’on ne sait toujours pas
Beaucoup, en réalité. Ni Web3Auth ni Keplr n’ont décrit la vulnérabilité, désigné une adresse de l’attaquant, chiffré ce qu’il a emporté avant le début du sauvetage, ni précisé combien de wallets étaient exposés dans les autres applications qui utilisent le service. Web3Auth promet des détails « une fois les opérations de récupération terminées ». Les actifs stakés ou bloqués compliquent la manœuvre, et Keplr dit travailler à un outil permettant à chacun de vérifier si son compte est touché.
En attendant, la consigne a durci depuis samedi : les utilisateurs Google ou Apple ne doivent plus envoyer de fonds sur ces comptes et sont invités à transférer le reste de leurs actifs liquides vers un wallet sécurisé par phrase de récupération ou par un appareil physique. Les deux sociétés rappellent aussi de ne se fier qu’à leurs comptes officiels : les messages privés proposant une « récupération » sont, sans surprise, le prochain filon des arnaqueurs.
Reste la question qui fâche pour toute l’industrie, qui mise sur la connexion sociale pour attirer le grand public : jusqu’où peut-on simplifier la garde d’une clé privée sans la confier, de fait, à quelqu’un d’autre ? Et surtout, qui remboursera les comptes que l’attaquant a atteints en premier ?
Cet article est publié à titre informatif et ne constitue pas un conseil en investissement. Les cryptoactifs sont volatils : n’investissez que ce que vous pouvez vous permettre de perdre.
