Les portefeuilles où l’on se connecte avec Google ou Apple pour faire plus simple ont été les premiers touchés cette fois-ci.
Le 6 novembre, Web3Auth, qui propose des portefeuilles intégrés et la connexion via les réseaux sociaux, a annoncé un problème de sécurité affectant ses services et la désactivation temporaire des portefeuilles intégrés. À ce stade, aucun utilisateur de MetaMask ne semblait concerné. Le 7 novembre, l’entreprise a précisé que le problème provenait de l’infrastructure de Web3Auth et touchait certains portefeuilles intégrés utilisés par Keplr.
Le même jour, Keplr, un portefeuille couramment utilisé dans l’écosystème Cosmos, a publié un communiqué officiel : certaines personnes s’étant connectées avec Google ou Apple avaient constaté des transactions non autorisées, et l’équipe enquêtait en coordination avec Web3Auth. Selon son évaluation préliminaire, les comptes créés avec une phrase de récupération ou un portefeuille matériel n’étaient pas concernés. La connexion avec Google et Apple a été suspendue. Keplr a demandé aux utilisateurs concernés de ne plus ajouter de fonds à ces comptes, de ne pas réimporter leur portefeuille et de ne pas le recréer ailleurs.
Plus tard dans la soirée du 7, le discours s’est durci : une faille dans l’infrastructure de Web3Auth a entraîné la fuite des clés privées de certains utilisateurs connectés via les réseaux sociaux. Keplr aide à sécuriser les actifs concernés. L’opération est toujours en cours ; les actifs mis en staking ou verrouillés sont plus difficiles et plus longs à récupérer. Ainsi, la baisse, voire la disparition, du solde de certains comptes connectés via Google ou Apple pourrait être la trace de mesures de protection (récupération white hat), et ne signifie pas forcément que les fonds ont été transférés. Web3Auth a également indiqué avoir suivi, avec ses partenaires, le même chemin que les attaquants pour récupérer de manière préventive les fonds des portefeuilles « pas encore touchés, mais déjà exposés ».
Il est conseillé aux utilisateurs connectés via les réseaux sociaux de transférer les actifs restants qu’ils peuvent encore déplacer vers un compte utilisant une phrase de récupération ou un portefeuille matériel. Les équipes officielles préparent également un outil de vérification permettant de savoir si un compte est concerné. Consultez uniquement les annonces officielles de Keplr et Web3Auth, et ne cliquez sur aucun lien reçu en message privé prétendant vous aider à « récupérer » vos fonds.
Selon l’estimation préliminaire de Josh Lee, cofondateur de Keplr, environ un compte sur cinq connecté via Google ou Apple est concerné. Seule une partie de ces comptes a réellement été exploitée ; les fonds des autres pourraient être récupérables. Il a également précisé que le code de Keplr n’avait pas été piraté. Aucune des deux équipes n’a encore publié le montant des pertes ni le nombre de portefeuilles concernés. Les chiffres de plusieurs millions de dollars et de dizaines de milliers d’adresses qui circulent en ligne n’ont pas été confirmés officiellement.