Une vulnérabilité technique touchant l’infrastructure du fournisseur Web3Auth a entraîné le vol de fonds sur l’application de portefeuille Keplr. L’incident concerne exclusivement les utilisateurs ayant créé ou accédé à leur compte par l’intermédiaire de leurs identifiants Google ou Apple.
Une brèche sur les mécanismes de connexion simplifiés
Web3Auth assure l’intégration technique permettant de se connecter aux applications décentralisées sans gérer manuellement une clé cryptographique complexe. Un attaquant a réussi à exploiter un défaut dans ce dispositif pour accéder directement aux clés privées de certains utilisateurs, le code numérique secret qui valide les transactions sortantes.
Selon les premières estimations partagées par Josh Lee, cofondateur de Keplr, environ 20 % des comptes configurés avec ces accès tiers ont été touchés, bien qu’une proportion plus restreinte ait effectivement subi un vol. La firme spécialisée GoPlus estime quant à elle les pertes directes à au moins 1 million de dollars, soit environ 588 millions FCFA.
Une intervention d’urgence pour limiter l’impact
Afin de couper l’herbe sous le pied du cybercriminel, Web3Auth a utilisé le même chemin d’accès pour vider de manière préventive les portefeuilles encore intacts mais vulnérables. Les actifs ont été redirigés vers des comptes dits de récupération, répartis sur onze chaînes de l’écosystème Cosmos et huit réseaux compatibles avec la technologie Ethereum.
La société d’analyse sur chaîne Bitquery indique qu’au total, 6,01 millions de dollars, soit environ 3,54 milliards FCFA, provenant de plus de 44 000 comptes ont été transférés vers ces coffres de secours. Ces mouvements ont pu laisser croire à des utilisateurs que leur compte avait été entièrement pillé, alors qu’il s’agissait d’une mise sous séquestre technique.
Les portefeuilles traditionnels hors de cause
Keplr a immédiatement suspendu les fonctionnalités d’authentification par Google et Apple. L’entreprise précise que les utilisateurs s’appuyant sur une phrase de récupération classique (une suite de 12 ou 24 mots) ou sur un boîtier physique sécurisé ne sont pas exposés à ce problème.
Web3Auth, rachetée en 2025 par le groupe Consensys, collabore avec Keplr pour définir la méthode de restitution des actifs déplacés. La société a par ailleurs indiqué qu’aucun élément n’indiquait pour l’heure un impact sur les usagers du portefeuille MetaMask.
Source : The Hacker News
