Piratage Keplr : les portefeuilles créés via Google et Apple touchés, 6 millions de dollars mis à l’abri

Ce qu’il faut retenir :

• Keplr a suspendu le 7 novembre les connexions via Google et Apple après des transactions non autorisées.
• Environ 6,01 millions de dollars ont été transférés vers des adresses de récupération, selon les données de Bitquery.
• Les portefeuilles créés avec une phrase de récupération ou un appareil matériel ne sont pas concernés, selon Keplr.

Que s’est-il passé sur Keplr ?

Keplr, le portefeuille de référence de l’écosystème Cosmos, a désactivé le samedi 7 novembre la connexion via Google et Apple, après des signalements de transactions non autorisées. Ce piratage Keplr ne touche qu’une catégorie précise d’utilisateurs : ceux qui ont ouvert leur portefeuille avec un compte Google ou Apple, une option reposant sur le prestataire Web3Auth.

Dans la foulée, Web3Auth a suspendu son service de portefeuilles intégrés. Les deux sociétés ont aussi déplacé une partie des actifs exposés vers des adresses sécurisées, pour les soustraire à l’attaquant avant qu’il ne les vide.

Web3Auth, le prestataire au cœur de l’incident

La connexion sociale, c’est-à-dire la création d’un portefeuille à partir d’un compte Google ou Apple, évite à l’utilisateur de gérer une phrase de récupération lors de l’inscription. C’est Web3Auth qui fournit cette brique à Keplr. Le confort a une contrepartie : la sécurité du portefeuille dépend en partie de l’infrastructure d’un tiers.

Josh Lee, cofondateur de Keplr, situe précisément l’origine de l’incident dans l’infrastructure de Web3Auth, et non dans le code du portefeuille lui-même. Une nuance qui compte : Keplr assume la relation avec ses utilisateurs, mais la faille se trouve chez son fournisseur.

Combien de fonds ont été volés lors du piratage Keplr ?

Personne ne le sait encore. Le seul chiffre solide concerne les fonds sécurisés : selon les données de Bitquery, environ 6,01 millions de dollars se trouvaient sur les adresses de récupération au 7 novembre. L’analyse de la société porte sur environ 44 700 portefeuilles distincts ayant fait l’objet de ces transferts de sécurisation.

Bitquery avait d’abord interprété ces mouvements comme des vols. La société a révisé sa lecture après la publication par Web3Auth, le dimanche 8 novembre, de la liste officielle des adresses de récupération. Conséquence concrète pour les utilisateurs : un solde à zéro ne signifie pas forcément que les fonds ont été dérobés, ils peuvent avoir été mis à l’abri par les équipes.

Le montant effectivement capté par l’attaquant reste inconnu. Les 6 millions de dollars recensés ne mesurent donc pas l’ampleur des pertes, mais celle de l’opération de sauvetage.

Quels portefeuilles Keplr sont concernés ?

Selon l’estimation préliminaire de Josh Lee, environ 20 % des comptes Keplr créés via Google ou Apple pourraient avoir été exposés. Seule une fraction de ces comptes aurait subi des opérations malveillantes, sans chiffre précis à ce stade.

Les portefeuilles créés avec une phrase de récupération classique ou reliés à un appareil matériel échappent au périmètre de l’incident, selon Keplr. L’entreprise demande aux utilisateurs concernés par la connexion sociale de ne plus alimenter ces portefeuilles.

Ce qu’il faut surveiller

Trois éléments décideront de la suite du piratage Keplr. D’abord, le chiffrage des pertes réelles, absent à ce jour. Ensuite, le rapport technique de Web3Auth sur l’origine de la faille, qui conditionne la réactivation des connexions Google et Apple. Enfin, les modalités de restitution des fonds placés sur les adresses de récupération, que les utilisateurs touchés attendent pour récupérer leurs actifs.