• Mishaboar a publié samedi sur X un avertissement contre la connexion sociale

• Keplr a reçu des signalements de transactions non autorisées sur des comptes créés avec une connexion Google ou Apple

• Web3Auth a indiqué qu’une enquête préliminaire n’avait révélé aucun signe d’impact sur les utilisateurs de MetaMask

Mishaboar met en garde contre la connexion sociale

Un membre influent de la communauté Dogecoin (DOGE) a dénoncé la connexion sociale comme un risque pour la sécurité. Son avertissement est intervenu après que le principal fournisseur d’infrastructure pour ce type de connexion avait déjà mis son service hors ligne. Mishaboar, commentateur de longue date de l’écosystème Dogecoin, a publié samedi un message sur X pour critiquer cette fonctionnalité qui permet aux utilisateurs de créer et d’utiliser un portefeuille crypto via un compte Google, un identifiant Apple, un compte Telegram ou une adresse e-mail, plutôt que de gérer une phrase de récupération. Son message sur X dit notamment : « La connexion sociale, la fonctionnalité que vous voudrez peut-être ajouter à votre portefeuille si vous détestez vos utilisateurs. » Mishaboar a fait valoir que les personnes les plus susceptibles d’opter pour cette solution en un clic sont les nouveaux venus qui découvrent les cryptomonnaies, et qui ne comprennent pas forcément ce qu’ils confient en reliant un compte personnel à un service de portefeuille. Selon lui, le risque ne se limite pas aux fonds détenus dans le portefeuille : une fuite de données par le même canal pourrait relier une identité réelle à des avoirs sur la blockchain, avec des conséquences potentiellement désastreuses. Son avertissement concerne également les portefeuilles qui sauvegardent les clés « dans le Cloud », ce qui, comme il l’a expliqué, signifie simplement sur le serveur de quelqu’un d’autre. Son argument est que la facilité d’utilisation est précisément ce qui rend cette fonctionnalité dangereuse : elle supprime l’étape de la phrase de récupération, qui oblige l’utilisateur à comprendre qu’il est le seul à détenir la clé. Cette mise en garde survient alors que le marché est déjà sous pression : le cours du Dogecoin a clôturé le mois d’octobre en baisse de 20,1 %, enregistrant un deuxième Uptober consécutif dans le rouge. La communauté est donc particulièrement sensible à tout ce qui pourrait faire fuir les nouveaux investisseurs particuliers dont dépend cette cryptomonnaie mème.

Keplr porte l'affaire à Web3Auth

Keplr, un portefeuille multichaîne prenant en charge Cosmos, Bitcoin, Ethereum et Starknet, a confirmé l'incident en cours à l'origine de l'avertissement. Dans sa propre déclaration, le fournisseur du portefeuille a indiqué avoir reçu des signalements de transactions non autorisées sur certains comptes Keplr créés avec une connexion Google ou Apple, et avoir transmis l'affaire à l'équipe de Web3Auth, les deux parties enquêtant conjointement. Web3Auth, le fournisseur dont l'infrastructure de portefeuille intégrée sert à ces connexions, avait déjà agi avant que l'information ne soit rendue publique : l'entreprise a déclaré être au courant d'un problème de sécurité touchant ses services utilisés par certains tiers et avoir temporairement suspendu le service de portefeuille intégré en réponse. À l'issue d'une première enquête, l'entreprise a déclaré n'avoir trouvé aucun élément indiquant que des utilisateurs de MetaMask avaient été touchés. Le fonctionnement explique pourquoi cette conception suscite autant de critiques. Dans un système de signature sociale, les clés qui seraient normalement détenues uniquement par l'utilisateur sont générées et conservées dans une infrastructure contrôlée par un fournisseur, l'accès étant protégé par la sécurité d'un compte courant. Ce dispositif s'apparente davantage à un portefeuille chaud géré par un tiers qu'au modèle d'autodétention que la plupart des acheteurs pensent choisir, et concentre le risque dans le service qui subit une compromission. Depuis longtemps, les spécialistes de la sécurité préconisent l'alternative d'un portefeuille matériel dont la phrase de récupération ne quitte jamais les mains de l'utilisateur, précisément parce qu'il écarte le fournisseur de la chaîne de garde. Pour l'instant, les informations publiques restent limitées : aucun audit de sécurité de la blockchain après l'incident n'a été publié, Keplr n'a pas précisé combien de comptes ont été touchés ni quelle somme a été transférée, et Web3Auth n'a pas indiqué quand le service suspendu serait de nouveau en ligne.

Le nombre que ni l'un ni l'autre des fournisseurs n'a publié

Pour les détenteurs de Dogecoin, la conclusion pratique est limitée, mais sans équivoque. La signature sociale échange le contrôle d'une clé contre un processus d'inscription plus rapide, et le fournisseur qui propose cet échange n'assume pas les pertes en cas de problème ; la remarque de Mishaboar sur le lien avec l'identité reste valable, même si les fonds sortent indemnes d'une compromission. Son historique incite à ne pas balayer cet avertissement d'un revers de main en le qualifiant de FUD : il avait auparavant conseillé aux acheteurs de Dogecoin de transférer leurs fonds en raison de soupçons concernant une porte dérobée implantée dans un appareil Trezor. Ce qui reste sans réponse, c'est ce que personne n'a publié : le nombre de comptes touchés, la liste complète des portefeuilles dépendant du service suspendu et la date de son rétablissement. Tant qu'aucun des fournisseurs n'aura communiqué ces informations, le compte de connexion lui-même devra être considéré comme la clé.