Keplr, un portefeuille largement utilisé dans l’écosystème Cosmos, a temporairement suspendu les connexions via Google et Apple après avoir reçu des signalements de transactions non autorisées sur certains portefeuilles d’utilisateurs. Le portefeuille a indiqué le 7 novembre que les comptes concernés avaient été créés via une connexion sociale et qu’il enquêtait sur le problème conjointement avec Web3Auth, le fournisseur d’authentification à l’origine de cette fonctionnalité.
Web3Auth a révélé tard dans la soirée du 6 novembre un problème de sécurité touchant certaines plateformes tierces et a suspendu temporairement ses services de portefeuille intégré par mesure de précaution. L’entreprise a déclaré que son enquête préliminaire n’avait révélé aucun indice indiquant que des utilisateurs de MetaMask étaient concernés. L’évaluation initiale de Keplr a également conclu que les comptes créés à l’aide d’une phrase de récupération ou d’un portefeuille matériel n’étaient pas concernés.
Selon une déclaration attribuée au cofondateur de Keplr, Josh Lee, l’incident trouve son origine chez le fournisseur, et non dans le code de Keplr. Les premières estimations indiquent qu’environ 20 % des comptes connectés via Google et Apple pourraient être concernés, et que seule une partie de ces comptes semble avoir été exploitée. Il a également indiqué que les comptes restants pourraient être récupérables. Il s’agit de chiffres préliminaires communiqués par les parties concernées, et non de statistiques vérifiées de manière indépendante.
Keplr a conseillé aux utilisateurs susceptibles d’être concernés de ne pas envoyer de nouveaux fonds aux comptes en question, ni de réimporter ou de recréer ces comptes ailleurs pendant la durée de l’enquête. Le portefeuille a également averti les utilisateurs de ne se fier qu’aux canaux officiels pour obtenir des informations et de se méfier des messages directs ou des liens prétendant proposer la récupération de leurs actifs.
Cet incident met en évidence un risque structurel des portefeuilles à connexion sociale : les fonctionnalités pratiques qui éliminent les phrases de récupération de l’expérience utilisateur concentrent aussi la confiance dans le fournisseur d’authentification. Lorsque cette couche est compromise, les utilisateurs peuvent perdre des fonds même s’ils n’ont jamais partagé de clé privée. L’ampleur des dommages est encore en cours d’évaluation et, à l’heure où nous écrivons ces lignes, aucune des deux parties n’a publié de montant total des pertes vérifié.
Le marché dans son ensemble a peu réagi : les cours au comptant du Bitcoin et de l’Ether sur Binance sont restés globalement stables au cours des dernières 24 heures, ce qui laisse penser que les traders considèrent pour l’instant que l’incident se limite aux portefeuilles concernés.
Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier. Faites vos propres recherches (DYOR) avant de prendre toute décision d’investissement.