Le portefeuille Keplr, qui permet de se connecter avec Google ou Apple, a connu un problème : l’infrastructure de Web3Auth, un service tiers de connexion, présentait une faille. Les clés privées de certains comptes connectés via les réseaux sociaux ont été divulguées.
Quelques points à retenir :
1. Selon des mises à jour officielles de Keplr citées le 8 novembre par ChainCatcher et PANews, une faille dans l’infrastructure de Web3Auth a entraîné la divulgation des clés privées de certains comptes Keplr créés avec Google ou Apple. Les comptes créés à l’aide d’une phrase de récupération ou d’un portefeuille matériel ne sont pas concernés. La connexion avec Google ou Apple est actuellement suspendue.
2. Keplr indique qu’il aide Web3Auth à protéger les actifs des utilisateurs concernés et que les mesures sont toujours en cours. Le traitement des actifs mis en staking ou verrouillés est plus complexe et prendra davantage de temps. Web3Auth explique avoir effectué un transfert préventif des portefeuilles encore vulnérables, mais qui n’avaient pas été attaqués, en empruntant le même chemin que les attaquants et en transférant les actifs vers une adresse de récupération sécurisée. Ainsi, la diminution ou la disparition du solde de certains comptes connectés via les réseaux sociaux ne signifie pas nécessairement qu’ils ont été volés. Les deux parties préparent une liste d’adresses de récupération pouvant être vérifiées et étudient un moyen pour les utilisateurs de vérifier eux-mêmes si leur compte est concerné. Aucune des deux parties n’a encore communiqué le nombre de comptes concernés ni le montant des actifs volés ou sécurisés.
3. Keplr recommande aux utilisateurs ayant créé un compte avec Google ou Apple de ne pas y transférer de nouveaux fonds pour le moment et de transférer les actifs restants pouvant l’être vers un compte créé à l’aide d’une phrase de récupération ou d’un portefeuille matériel. Fiez-vous uniquement aux annonces des comptes officiels de Keplr et de Web3Auth ; ne cliquez pas sur les messages privés ni sur les liens de personnes prétendant « vous aider à récupérer vos actifs ».
Mon avis : la facilité de connexion ne signifie pas que l’on détient soi-même les clés. La connexion via les réseaux sociaux confie à un tiers la génération et la conservation des clés privées ; c’est cette couche qui a été compromise, et non le système d’autogestion fondé sur une phrase de récupération. Si votre compte est vide, ne vous précipitez pas sur les liens de « récupération » : selon les annonces officielles, certains transferts étaient préventifs, et tant que la liste n’a pas été vérifiée, il est difficile de distinguer au premier coup d’œil une opération de sauvetage d’un vol. Si vous utilisez ce type de portefeuille, suivez les recommandations officielles : transférez d’abord les actifs pouvant l’être vers un compte protégé par une phrase de récupération ou un portefeuille matériel, puis attendez les prochaines instructions pour les actifs mis en staking.
Compilation d’informations publiques uniquement ; ceci ne constitue pas un conseil en investissement.
$ATOM $TIA
Quelques points à retenir :
1. Selon des mises à jour officielles de Keplr citées le 8 novembre par ChainCatcher et PANews, une faille dans l’infrastructure de Web3Auth a entraîné la divulgation des clés privées de certains comptes Keplr créés avec Google ou Apple. Les comptes créés à l’aide d’une phrase de récupération ou d’un portefeuille matériel ne sont pas concernés. La connexion avec Google ou Apple est actuellement suspendue.
2. Keplr indique qu’il aide Web3Auth à protéger les actifs des utilisateurs concernés et que les mesures sont toujours en cours. Le traitement des actifs mis en staking ou verrouillés est plus complexe et prendra davantage de temps. Web3Auth explique avoir effectué un transfert préventif des portefeuilles encore vulnérables, mais qui n’avaient pas été attaqués, en empruntant le même chemin que les attaquants et en transférant les actifs vers une adresse de récupération sécurisée. Ainsi, la diminution ou la disparition du solde de certains comptes connectés via les réseaux sociaux ne signifie pas nécessairement qu’ils ont été volés. Les deux parties préparent une liste d’adresses de récupération pouvant être vérifiées et étudient un moyen pour les utilisateurs de vérifier eux-mêmes si leur compte est concerné. Aucune des deux parties n’a encore communiqué le nombre de comptes concernés ni le montant des actifs volés ou sécurisés.
3. Keplr recommande aux utilisateurs ayant créé un compte avec Google ou Apple de ne pas y transférer de nouveaux fonds pour le moment et de transférer les actifs restants pouvant l’être vers un compte créé à l’aide d’une phrase de récupération ou d’un portefeuille matériel. Fiez-vous uniquement aux annonces des comptes officiels de Keplr et de Web3Auth ; ne cliquez pas sur les messages privés ni sur les liens de personnes prétendant « vous aider à récupérer vos actifs ».
Mon avis : la facilité de connexion ne signifie pas que l’on détient soi-même les clés. La connexion via les réseaux sociaux confie à un tiers la génération et la conservation des clés privées ; c’est cette couche qui a été compromise, et non le système d’autogestion fondé sur une phrase de récupération. Si votre compte est vide, ne vous précipitez pas sur les liens de « récupération » : selon les annonces officielles, certains transferts étaient préventifs, et tant que la liste n’a pas été vérifiée, il est difficile de distinguer au premier coup d’œil une opération de sauvetage d’un vol. Si vous utilisez ce type de portefeuille, suivez les recommandations officielles : transférez d’abord les actifs pouvant l’être vers un compte protégé par une phrase de récupération ou un portefeuille matériel, puis attendez les prochaines instructions pour les actifs mis en staking.
Compilation d’informations publiques uniquement ; ceci ne constitue pas un conseil en investissement.
$ATOM $TIA
