Dans la nuit du 6 au 7 novembre, il s’est passé quelque chose de très étrange avec le portefeuille Keplr. Les clés privées des utilisateurs qui avaient créé leur portefeuille en se connectant avec un compte Google ou Apple ont été extraites de l’infrastructure de Web3Auth. Selon les décomptes de Bitquery, plus de 44 000 portefeuilles ont été vidés en 18 heures, pour un montant d’environ 6,01 millions de dollars identifiable sur la blockchain. Mais ce chiffre inclut aussi les fonds que Web3Auth a transférés pour les mettre à l’abri ; impossible donc de déterminer exactement combien les hackers ont réellement emporté. Le chiffre le plus inquiétant : 86 % des fonds dérobés ont été transférés après l’avertissement de Keplr. L’alerte avait été lancée, mais les clés étaient déjà entre les mains de quelqu’un d’autre : désactiver la connexion ne pouvait rien empêcher.

Commençons par clarifier qui est responsable cette fois-ci. Josh Lee, cofondateur de Keplr, a lui-même expliqué que la faille se trouvait dans l’infrastructure de Web3Auth et que le code de Keplr n’était pas en cause. Les portefeuilles créés avec une phrase de récupération et les comptes connectés à un portefeuille matériel n’ont pas été touchés. Le problème concernait les utilisateurs qui s’étaient connectés en un clic avec Google ou Apple, soit environ 20 % de ce type de comptes. Le soir du 6 novembre, Web3Auth a d’abord reconnu un problème de sécurité affectant son service et suspendu son service de portefeuille intégré. À 4 h 38, le 7 novembre, Keplr a publié une alerte demandant aux utilisateurs de ne plus envoyer d’argent sur ces comptes. Selon les chiffres de Bitquery, la majorité des fonds ont pourtant été dérobés après l’alerte ; environ 3,5 millions de dollars ont été comptabilisés sur la seule blockchain Cosmos Hub. Par ailleurs, 1,96 million d’ATOM mis en staking ont été transférés directement, sans attendre la période de déliement de 21 jours.

Le passage le plus important, c’est la deuxième partie de l’histoire. Après avoir découvert la faille qui exposait les clés privées, Web3Auth ne s’est pas contenté de publier un communiqué : en exploitant la même faille avant les hackers, il a transféré les fonds des portefeuilles qui n’avaient pas encore été vidés. Le 8 novembre, il a publié 12 adresses de récupération contenant environ 5,6 millions de dollars. Au départ, une enquête sur la blockchain a identifié huit de ces adresses comme appartenant aux hackers. On a ensuite confirmé qu’il s’agissait en réalité des adresses de récupération de Web3Auth. À elle seule, l’adresse de récupération de Cosmos Hub contenait 2,49 millions d’ATOM, soit environ 3,3 millions de dollars. Une faille ne fait pas de distinction entre le bien et le mal : le premier arrivé est le premier servi.

Pour les petits investisseurs, la leçon ne concerne pas Keplr, mais la façon dont leur portefeuille a été créé. Créer un portefeuille en se connectant en un clic, c’est pratique, mais cela signifie que la clé privée n’est pas entre vos mains : elle est stockée chez un prestataire tiers. Si celui-ci rencontre un problème, vous n’avez même pas le temps de réagir ; quand l’alerte est publiée, vos fonds sont peut-être déjà en route. Autre point souvent négligé : Web3Auth n’a pas précisé quand ni selon quelle procédure les fonds récupérés seraient rendus aux utilisateurs. Au soir du 8 novembre, on ne savait toujours pas combien avait été volé au total ni quelle était la cause profonde de l’incident. Des personnes ont déjà diffusé des liens d’hameçonnage sous prétexte d’aider à récupérer les actifs ; Keplr et Web3Auth rappellent qu’il faut s’en tenir uniquement aux canaux officiels.

Mon avis tient en une phrase : les clés de votre portefeuille doivent rester entre vos mains. La commodité de la connexion en un clic, vous finirez tôt ou tard par la payer de votre poche.

Ouvrez maintenant votre portefeuille habituel et vérifiez comment vous l’aviez créé : avec une phrase de récupération, ou en vous connectant en un clic avec Google ou Apple ?

#Keplr #Web3Auth #钱包安全 #安全复盘 #Cosmos

— Xiao Kai, crypto-investisseur lésé

Cet article présente uniquement un point de vue personnel et ne constitue aucun conseil en investissement. Sources des données : The Block, Bitquery, Coinpaper, CryptoCompass et des informations publiques. Les montants sont des estimations fondées sur le suivi des transactions sur la blockchain. Les cours évoluent à tout moment ; évaluez les risques par vous-même.