La vulnérabilité a touché des comptes créés via Google ou Apple. Web3Auth et Keplr ont transféré des actifs encore récupérables vers des adresses de récupération contrôlées, mais le montant soustrait par les attaquants n'a pas été communiqué.
Un problème dans l'infrastructure de Web3Auth a exposé les clés privées de certains wallets Keplr créés via Google ou Apple. Entre le 6 et le 8 novembre 2026, alors que des utilisateurs signalaient des transactions non autorisées, Web3Auth a déclaré avoir lancé des transferts de protection vers des adresses contrôlées pour la récupération des fonds. La société a indiqué collaborer avec Keplr pour restituer les actifs aux utilisateurs concernés.
L'incident concerne le service d'accès intégré, et non une faille dans le code du wallet Keplr ni dans les blockchains utilisées. Selon le cofondateur de Keplr, cité par The Block, environ 20 % des comptes Keplr créés avec Google ou Apple pourraient avoir été affectés. La société a précisé que les wallets créés avec une phrase de récupération ou un hardware wallet ne sont pas concernés.
Ce qui a été transféré et où se trouvent les fonds
Web3Auth a publié une liste de 12 adresses qu'elle désigne comme destinations de récupération. Au moment du relevé effectué par The Block le 8 novembre, ces adresses détenaient environ 5,6 millions de dollars en cryptomonnaies. Ce chiffre est un instantané des soldes observés on-chain et ne représente pas une estimation des pertes causées par l'attaque.
Une analyse distincte de Bitquery avait initialement attribué à deux adresses environ 6,01 millions de dollars transférés depuis des dizaines de milliers de wallets. La société a ensuite constaté que ces deux adresses figuraient dans la liste publiée par Web3Auth comme destinations de récupération. Bitquery avertit qu'elle ne peut pas vérifier qui contrôle ces adresses et que son décompte n'inclut pas les wallets éventuellement vidés par l'attaquant vers d'autres destinations.
Les deux chiffres ne sont donc pas directement interchangeables: The Block a relevé environ 5,6 millions sur les douze adresses de récupération au moment de sa vérification; Bitquery a reconstitué environ 6,01 millions sur une phase et un périmètre de transactions différents. Une partie des mouvements initialement interprétés comme des vols était liée aux opérations de récupération lancées par Web3Auth.
Le montant effectivement soustrait par l'attaquant avant les contre-mesures reste inconnu. Web3Auth a mentionné un «attaquant original» dans les communications relayées par la presse, sans publier de bilan total des pertes ni identifier publiquement les adresses attribuées à cette personne ou à ce groupe.
Le rôle de Web3Auth dans la connexion Keplr
Keplr permet de créer des wallets via une phrase de récupération et, pour certains comptes, via la connexion sociale Google ou Apple. Dans ce dernier cas, la gestion de l'accès et la génération de la clé impliquent Web3Auth, fournisseur d'infrastructure pour wallets intégrés. La clé privée autorise les transactions: si elle est exposée, quiconque la possède peut signer des opérations et déplacer les actifs associés.
Cette distinction est importante car une blockchain enregistre les transactions, mais n'explique pas à elle seule qui les a autorisées ni si le transfert a été effectué par un attaquant ou par l'équipe de récupération. Bitquery indique que certains transferts vers des adresses ensuite listées par Web3Auth avaient débuté avant la première communication publique de la société. La chronologie seule ne permet pas d'attribuer chaque mouvement à un acteur précis.
Keplr a suspendu la connexion Google et Apple et a invité les utilisateurs disposant d'un compte social à ne pas déposer de nouveaux fonds. La société a par ailleurs distingué ces comptes de ceux créés avec une phrase de récupération ou un hardware wallet, indiqués comme non affectés. Pour comprendre la différence entre wallets logiciels et dispositifs dédiés, vous pouvez consulter notre guide comparatif des hardware wallets. La cause technique de l'exposition, le nombre définitif de comptes concernés et la procédure complète de restitution des fonds n'ont pas encore été publiés dans les comptes rendus disponibles.
Ce qui reste à clarifier
L'incident laisse trois questions opérationnelles ouvertes. La première concerne la cause de la vulnérabilité dans l'infrastructure Web3Auth et la façon dont les clés sont devenues accessibles. La deuxième porte sur le bilan définitif des fonds transférés par les utilisateurs, par les éventuels attaquants et par les équipes en charge de la réponse. La troisième concerne la restitution: Web3Auth a déclaré travailler avec Keplr sur un processus de récupération, sans qu'un calendrier complet ni une procédure individuelle définitive n'aient encore été décrits dans les comptes rendus consultés.
Les adresses publiées comme destinations de récupération sont observables on-chain, mais leur solde n'équivaut pas à un remboursement déjà effectué. Jusqu'à la restitution aux utilisateurs, ces actifs demeurent dans des adresses séparées et leur disponibilité dépend des modalités de conservation et de transfert adoptées par les parties concernées.
Quel impact pour les utilisateurs européens?
Les communications citées n'indiquent aucune distribution géographique des comptes concernés et ne permettent pas de déterminer combien d'utilisateurs européens sont affectés. Le risque dépend de la méthode utilisée pour créer le wallet: l'avertissement de Keplr concerne les comptes configurés avec une connexion Google ou Apple, tandis que les comptes créés avec une phrase de récupération ou un hardware wallet ont été indiqués comme exclus de l'incident.
La distinction entre vulnérabilité des clés et fuite de données personnelles est apparue également lors du récent incident impliquant Keystone. Les utilisateurs de Keplr doivent s'en tenir exclusivement aux mises à jour publiées sur les canaux officiels de la société et suivre les instructions spécifiques à leur compte. À ce stade, la prudence s'impose face à tout message non sollicité promettant la récupération des fonds ou demandant des clés privées, des phrases de récupération ou des paiements anticipés: aucune information indépendante recueillie à ce jour ne confirme qu'un tiers extérieur puisse accélérer la restitution. Le phénomène des tentatives de phishing ciblées a aussi été documenté après la violation affectant les clients SafePal et la fuite de données Trezor. Dans le contexte réglementaire européen, le cadre MiCA oblige les prestataires de services sur actifs numériques enregistrés auprès de l'AMF à maintenir des exigences de sécurité opérationnelle, ce qui rend ce type d'incident particulièrement scruté par les autorités françaises.
Web3Auth et Keplr: ce qui est confirmé et ce qui reste à vérifier
Synthèse des éléments disponibles à ce stade
- Confirmé: une vulnérabilité de Web3Auth a exposé certaines clés de wallets Keplr créés avec une connexion Google ou Apple; des transferts vers des adresses de récupération ont été lancés.
- Non communiqué: la cause technique complète, le nombre définitif de comptes concernés et la perte attribuable à l'attaquant.
- À suivre: le plan de restitution aux utilisateurs et le bilan des transferts de récupération.
Analyse plus large
Cet épisode illustre un point de fragilité propre aux wallets avec connexion sociale: l'expérience simplifiée peut dépendre d'une infrastructure externe qui participe à la gestion des clés. Ce risque est différent des fuites de données commerciales, comme celles décrites dans notre section dédiée aux attaques crypto, mais les deux montrent à quel point les services entourant la conservation numérique sont déterminants. La commodité de la connexion sociale n'efface pas la nécessité de protéger le processus qui permet de signer les transactions.
La réponse d'urgence a par ailleurs rendu plus complexe la lecture des données on-chain: Web3Auth a déclaré avoir utilisé le même chemin technique que l'attaquant pour sécuriser les actifs encore présents dans les wallets vulnérables. Un transfert inhabituel ne prouve donc pas à lui seul un vol. Des adresses vérifiées, une chronologie complète et un bilan des fonds effectivement restitués restent nécessaires pour comprendre l'étendue réelle de l'incident.
