Keplr : la faille Web3Auth vide environ 6 millions de dollars sur Cosmos
Web3Auth, le service de Consensys qui permet d'ouvrir un portefeuille avec un compte Google ou Apple, a suspendu son offre de portefeuilles embarqués le 7 novembre après un « problème de sécurité » touchant certains de ses clients. Keplr, l'un d'eux, avait signalé dans la nuit des transactions non autorisées sur des comptes créés de cette façon, et a coupé ces connexions. Keplr insiste : son propre code n'est pas en cause.
D'après Bitquery, environ 6 millions de dollars sont partis de quelque 44 700 portefeuilles, sur sept réseaux de l'écosystème Cosmos et sur Injective, dont 3,5 millions sur le Cosmos Hub. Josh Lee, cofondateur de Keplr, estime qu'environ 20 % des comptes Keplr ouverts avec Google ou Apple pourraient être concernés, et que seule une partie a réellement été vidée. Ce chiffre est provisoire, et il ne vaut ni pour tous les comptes Keplr ni pour tous les utilisateurs de Web3Auth.
Les « 50 millions d'utilisateurs » qui circulent viennent de Web3Auth lui-même, qui revendiquait près de 50 millions d'utilisateurs quand il a rejoint Consensys en 2025 : c'est son audience, pas le nombre de victimes. Web3Auth dit n'avoir trouvé, à ce stade, aucun impact sur les utilisateurs de MetaMask. Un solde vide ne veut pas forcément dire un vol : des équipes de sécurité déplacent des fonds par le même chemin que l'attaquant pour les mettre à l'abri. Le bilan des pertes reste à faire, et rien ne garantit encore un remboursement.
Keplr : des portefeuilles ouverts avec Google ou Apple ont été vidés
Keplr est un portefeuille crypto très utilisé pour Cosmos (ATOM) et ses réseaux voisins. On pouvait l'ouvrir avec son compte Google ou Apple, sans phrase de récupération à garder de côté. Ce service de connexion n'est pas fait par Keplr lui-même : il est fourni par Web3Auth, une société rachetée en 2025 par Consensys, l'entreprise derrière MetaMask.
Le 6 novembre, Web3Auth a eu un problème de sécurité. Le lendemain, Keplr a signalé des transactions que leurs propriétaires n'avaient pas faites, sur une partie des portefeuilles ouverts avec Google ou Apple, et a coupé ces connexions. Google et Apple n'ont pas été piratés : c'est le prestataire entre eux et Keplr qui a flanché.
Si votre Keplr a été créé avec une phrase de récupération ou relié à un portefeuille matériel (Ledger…), il n'est pas concerné, selon Keplr. Si vous l'avez ouvert avec Google ou Apple, n'y envoyez plus rien, déplacez ce qui reste vers un portefeuille à phrase de récupération en suivant les consignes officielles de Keplr, et ignorez tout message privé qui propose de « récupérer » vos fonds : c'est presque toujours une arnaque.
Lire la version expert
Keplr et Web3Auth : 44 700 portefeuilles Cosmos touchés, le bilan reste flou
Le 7 novembre, Web3Auth (Consensys depuis juin 2025) a mis en pause son service d'« embedded wallets » après un incident touchant des intégrateurs tiers, et dit n'avoir trouvé, après une première enquête, aucun signe d'impact sur les utilisateurs de MetaMask. Keplr avait signalé quelques heures plus tôt des transactions non autorisées sur des comptes créés par connexion Google ou Apple, et a suspendu ces deux méthodes. Web3Auth a ensuite confirmé que la faille touchait des portefeuilles embarqués de Keplr et lancé des opérations de mise à l'abri.
Bitquery chiffre les sorties à environ 6,01 millions de dollars vers deux adresses de collecte, depuis 44 041 portefeuilles sur sept réseaux Cosmos et 7 603 adresses sur Injective, soit environ 44 700 portefeuilles une fois les doublons retirés. Le Cosmos Hub pèse environ 3,5 millions ; Osmosis, Celestia, Akash, Noble, Babylon et dYdX suivent. Bitquery relève aussi 1,96 million d'ATOM stakés sortis par tokenisation des parts de staking, ce qui évite les 21 jours de déblocage. Josh Lee avance qu'environ 20 % des comptes Keplr à connexion sociale pourraient être exposés, dont une fraction réellement exploitée.
Deux réserves avant de tirer des conclusions. D'abord, les opérations « white hat » passent par le même chemin que l'attaque : une partie des sorties comptées par Bitquery peut être des fonds mis en sûreté, et on ne sait pas encore départager pertes et récupérations. Ensuite, les « 50 millions d'utilisateurs » cités ici et là sont la base revendiquée par Web3Auth à son rachat, pas une mesure de l'exposition. Les comptes à phrase de récupération ou à portefeuille matériel ne sont pas concernés selon Keplr ; aucune indemnisation n'est annoncée.
