Selon BeInCrypto, une brèche de sécurité liée à l’infrastructure de login social de Web3Auth a compromis des portefeuilles Keplr créés avec des comptes Google ou Apple. Le 6 novembre, Web3Auth a interrompu son service de portefeuille intégré et a placé son système de connexion en maintenance après avoir détecté le problème. Le jour suivant, l’entreprise a retracé la vulnérabilité à son propre backend, confirmant que la faille avait exposé un sous‑ensemble de portefeuilles Kepr. Keplr a réagi en désactivant les connexions Google et Apple, tout en précisant que les portefeuilles générés avec une phrase de récupération ou un dispositif matériel n’étaient pas affectés.

Portée de la brèche

La société d’analyse on‑chain Bitquery a identifié environ 44 700 portefeuilles Keplr affectés sur huit chaînes basées sur Cosmos, la valeur totale des actifs drainés dépassant 6 millions de dollars. La perte la plus importante enregistrée était d’environ 325 000 $. La brèche a principalement touché les utilisateurs qui utilisaient la fonction de login social de Web3Auth pour créer leurs portefeuilles, méthode qui avait gagné en popularité après la fermeture du portefeuille Leap plus tôt dans l’année.

Efforts de récupération et chiffres contestés

Web3Auth a lancé une opération de white‑hat avec des partenaires pour déplacer les fonds des portefeuilles vulnérables avant que les attaquants ne puissent y accéder, en utilisant le même vecteur d’accès. L’entreprise a ensuite publié une liste d’adresses de récupération vérifiées sur plusieurs plateformes, dont Injective, dYdX, Babylon, Axelar, Saga, Agoric et huit chaînes EVM. Certaines de ces adresses partagent des clés avec des portefeuilles collecteurs que Bitquery a liés au vol, créant de la confusion quant à savoir si les transferts représentaient des actifs récupérés ou une partie du piratage. Crypto Briefing a rapporté que Web3Auth conteste l’estimation du vol de 6,01 M$, affirmant que les fonds ont été transférés vers ses propres portefeuilles de récupération plutôt que volés. Web3Auth n’a pas divulgué le montant exact sécurisé, mais indique que les actifs récupérés sont sûrs et qu’il travaille avec Keplr pour les restituer aux propriétaires légitimes.

Réaction de la communauté et prochaines étapes

D’autres projets de l’écosystème Cosmos, comme PancakeSwap, ont rassuré les utilisateurs que leurs fonds et contrats intelligents restent sécurisés. Web3Auth a également mis en garde contre les imposteurs proposant une assistance de récupération factice. L’incident s’ajoute à une série d’événements de sécurité de haut niveau en 2026, dont une campagne de piratage nord‑coréenne qui a volé 7,61 milliards de dollars et une attaque qui a vidé plus de 1 400 portefeuilles Qubic.