Bitquery Retrace un Vol de 6,01 M$ des Portefeuilles Keplr Liés aux Connexions Sociales

Un vol significatif d'au moins 6,01 millions de dollars des portefeuilles Keplr a eu lieu entre le 6 et le 7 novembre 2026, selon la société d'analyse blockchain Bitquery. L'analyse indique que les pertes proviennent de clés privées exposées associées à des comptes créés via des connexions sociales, en particulier Google et Apple.

L'enquête de Bitquery a identifié environ 44 700 portefeuilles distincts impliqués dans des transactions non autorisées, la majorité des victimes étant sur les chaînes de l'écosystème Cosmos. Notamment, environ 3,5 millions de dollars des pertes ont été retracés jusqu'au Cosmos Hub, y compris une quantité substantielle d'actifs stakés qui ont été déplacés sans la période de désengagement habituelle de 21 jours.

Malgré un avertissement initial émis par Keplr le 7 novembre 2026, environ 86 % des fonds drainés ont été transférés après que les utilisateurs aient été alertés, soulevant des inquiétudes quant à la capacité du fournisseur de portefeuilles à communiquer efficacement lors d'incidents de sécurité.

Josh Lee, co-fondateur de Keplr, a attribué la violation à une vulnérabilité dans Web3Auth, le service tiers gérant les fonctionnalités de connexion sociale. Web3Auth a confirmé l'existence d'un défaut de sécurité qui a exposé les clés privées de certains utilisateurs, affirmant qu'ils avaient depuis mis en œuvre des mesures de protection.

Keplr a suspendu les connexions sociales et a lancé des efforts de récupération pour les comptes affectés. Cependant, ni Keplr ni Web3Auth n'ont divulgué la cause technique spécifique de la violation ni le nombre total de comptes touchés. La situation reste fluide, et les utilisateurs sont invités à considérer leurs comptes créés via des connexions sociales comme potentiellement compromis.

Dans une réponse ultérieure, Web3Auth a contesté le chiffre de 6,01 millions de dollars, affirmant que de nombreux fonds avaient été déplacés vers des portefeuilles de récupération vérifiés plutôt que d'avoir été volés. Ce désaccord met en lumière les complexités du suivi des transactions on-chain, où les opérations de récupération peuvent sembler similaires à un vol.

Alors que la situation évolue, il est conseillé aux utilisateurs de se fier aux canaux officiels pour les mises à jour et de s'abstenir de déposer de nouveaux fonds dans les comptes affectés.