Keplr Wallet : le piratage touche les utilisateurs de Google et Apple alors que la récupération commence

Web3Auth, qui fournit la technologie de connexion intégrée utilisée par Keplr, a mis son service en pause le 6 novembre, puis son service de connexion en maintenance, le temps d'examiner un incident de sécurité. Keplr a ensuite indiqué que certains comptes en social login avaient subi des transactions non autorisées et a désactivé la connexion via Google et Apple. La consigne donnée aux utilisateurs concernés est claire : ne pas envoyer de nouveaux actifs vers un compte affecté.

Dans un message publié le 7 novembre 2026, Keplr a précisé : "If you created your Keplr wallet with a recovery phrase or a hardware wallet, you are NOT affected." Le wallet ajoute que le problème concerne la voie d'accès via Google ou Apple, et non l'ensemble des comptes Keplr. Les utilisateurs sont invités à transférer les jetons encore liquides vers un autre wallet créé avec une phrase de récupération ou un wallet matériel.

Des flux on-chain d'abord estimés à plus de 6 millions de dollars

Au départ, Bitquery a suivi environ 6,01 millions de dollars répartis sur huit destinations on-chain. Le cabinet a aussi recensé 44 041 wallets vidés sur sept chaînes liées et estimé le nombre total de victimes à près de 44 700. La plus grosse perte individuelle enregistrée se situe autour de 325 000 dollars.

Mais cette première estimation ne constitue pas un total final confirmé. Web3Auth a ensuite indiqué que certaines adresses signalées appartenaient à son opération de récupération. Selon la société, ces transferts doivent être lus comme des mouvements de protection, et non automatiquement comme des retraits effectués par un attaquant.

Web3Auth a affirmé avoir lancé des whitehat recoveries avant qu'un pirate ne parvienne à atteindre certains wallets vulnérables. La société a utilisé le même accès pour sécuriser les actifs concernés. Résultat : un transfert depuis un wallet en social login ne prouve pas, à lui seul, un vol.

Des adresses de récupération qui brouillent le bilan

Le 8 novembre, Web3Auth a publié des destinations vérifiées pour son effort de récupération, reprises par Keplr. La société a précisé que les adresses nommées n'étaient ni malveillantes ni liées à un exploit. La liste inclut des destinations sur plusieurs réseaux Cosmos ainsi qu'une adresse EVM couvrant huit chaînes.

Keplr indique que ces adresses de récupération recoupent celles que Bitquery avait d'abord associées au drain. Cet overlap rend le chiffrage initial plus difficile à interpréter. Web3Auth n'a pas communiqué la valeur totale sécurisée, et aucune des deux sociétés n'a fourni de réconciliation finale des actifs déplacés.

Keplr ajoute que certains comptes peuvent sembler vides parce que des actifs ont été déplacés pendant la mitigation. Les actifs stakés et verrouillés demanderaient plus de temps pour être sécurisés. La société prévient aussi de ne pas faire confiance aux messages directs, de ne pas divulguer sa phrase de récupération et de ne pas envoyer de fonds vers une adresse se présentant comme une adresse de secours.