Keplr Wallet nach Web3Auth-Lücke: Social-Login-Konten nicht mehr befüllen

Wer seine Keplr Wallet über ein Google- oder Apple-Konto angelegt hat, sollte dort vorerst kein neues Geld einzahlen. Keplr hat den Login über Google und Apple am 6. November 2026 gestoppt, nachdem Nutzer unbefugte Transaktionen gemeldet hatten. Die Ursache liegt nach Angaben der beteiligten Firmen beim Dienstleister Web3Auth, der für Keplr die Schlüssel dieser Konten erzeugt. Konten mit eigener Seed Phrase und Konten an einer Hardware-Wallet sind nach der vorläufigen Prüfung von Keplr nicht betroffen.

Keplr ist eine Wallet für viele Blockchains, ihr Schwerpunkt liegt im Cosmos-Ökosystem. Entwickelt wird sie von der Firma Chainapsis. Viele Anleger in Deutschland nutzen sie, um Coins wie ATOM, OSMO oder INJ zu halten und zu staken. Der Vorfall trifft damit genau die Gruppe, die eine Wallet möglichst bequem einrichten wollte: ohne Zettel mit 12 oder 24 Wörtern, nur mit dem Klick auf „Mit Google anmelden“.

Keplr Wallet: Was über die unbefugten Transaktionen bekannt ist

Nach dem Bericht von Crypto Adventure vom 7. November 2026 meldeten Nutzer Abflüsse von Wallets, die sie per Google- oder Apple-Login erstellt hatten. Keplr schaltete daraufhin die Anmeldung über beide Dienste ab und begann gemeinsam mit Web3Auth eine Untersuchung. Josh Lee, Mitgründer von Chainapsis, schätzte laut demselben Bericht, dass rund 20 Prozent der Konten mit Social Login betroffen sein könnten; ausgenutzt worden sei davon nur ein Teil.

Eine bestätigte Schadenssumme gibt es bislang nicht. Weder Keplr noch Web3Auth haben die Zahl der betroffenen Konten oder den Wert der abgeflossenen Coins beziffert. Schätzungen aus der Community, die in sozialen Netzwerken kursieren, gehen weit auseinander und sind von keiner der beiden Firmen bestätigt. Belastbar ist bisher nur die Abgrenzung nach der Art, wie ein Konto angelegt wurde.

Laut Crypto Adventure betonte Lee außerdem, dass der Fehler nicht im Programmcode der Keplr-App selbst liege. Das ändert für Betroffene wenig, erklärt aber, warum Keplr die Wiederherstellung nicht allein in der Hand hat.

Web3Auth pausiert Embedded Wallets: Die Reaktion vom 6. November

Web3Auth bestätigte am 6. November einen Sicherheitsvorfall, der Dienste betreffe, die einige Drittanbieter nutzen. Das Unternehmen setzte seinen Dienst für sogenannte Embedded Wallets vorübergehend aus. Eine Embedded Wallet ist eine Wallet, die eine App direkt in ihr eigenes Angebot einbaut, sodass der Nutzer keine eigene Wallet-Software und keinen eigenen Wiederherstellungssatz braucht.

Nach einer ersten Untersuchung fand Web3Auth nach eigenen Angaben keine Hinweise darauf, dass Nutzer von MetaMask betroffen sind. Der Hinweis hat einen Hintergrund: Web3Auth gehört laut Crypto Adventure seit 2025 zu Consensys, dem Entwickler von MetaMask. Wer MetaMask klassisch mit eigener Seed Phrase nutzt, ist von diesem Vorfall nach allem, was bisher bekannt ist, nicht berührt.

Social Login per Google und Apple: Wie Keplr den Schlüssel ohne Seed Phrase erzeugt

Eine Wallet ist im Kern ein privater Schlüssel. Wer ihn kennt, kann über die Coins verfügen. Bei einer klassischen Wallet erzeugt das Gerät des Nutzers diesen Schlüssel und zeigt ihn als Seed Phrase an, also als Folge von 12 oder 24 Wörtern, aus der sich der Schlüssel jederzeit neu ableiten lässt.

Beim Social Login läuft das anders. Laut der Keplr-Dokumentation, auf die sich die Meldung von KuCoin News vom 7. November beruft, erzeugt Web3Auth bei Konten mit Google-Login den privaten Schlüssel anstelle einer Seed Phrase. Web3Auth arbeitet dabei mit verteilter Schlüsselerzeugung: Der Schlüssel wird in Teile zerlegt, die an verschiedenen Stellen liegen und erst beim Login wieder zusammenwirken. Der Nutzer sieht davon nichts, er meldet sich einfach mit seinem Google- oder Apple-Konto an.

Der Komfort hat einen Preis. Die Sicherheit des Kontos hängt nicht mehr nur am Nutzer, sondern auch an der Infrastruktur des Dienstleisters. Fällt dort ein Baustein aus oder wird angegriffen, kann der Nutzer selbst nichts dagegen tun, so sorgfältig er sein Google-Konto auch schützt.

Ursache laut Web3Auth: Eine Lücke in der Infrastruktur legte private Schlüssel offen

Am 7. November nannte Web3Auth nach dem Bericht von KuCoin News erstmals eine Ursache: eine Schwachstelle in der eigenen Infrastruktur, die zu einem Abfluss privater Schlüssel geführt habe. Betroffen seien einige Nutzer, die sich über Google oder Apple angemeldet hatten. Wie die Angreifer die Lücke genau ausnutzten, haben beide Firmen bisher nicht offengelegt. Web3Auth kündigte an, weitere Einzelheiten zu nennen, sobald die Rettung der Guthaben abgeschlossen ist.

Für die Einordnung reicht der bekannte Teil. Wer den privaten Schlüssel einer Wallet hat, braucht kein Passwort und keine Bestätigung des Besitzers mehr. Ein solcher Abfluss lässt sich auch nicht durch eine Rückbuchung umkehren, denn Transaktionen auf einer Blockchain sind endgültig.

Schutzüberweisungen bei Keplr: Warum ein Guthaben auch ohne Angreifer leer sein kann

Ein Detail sorgt bei Betroffenen für Verwirrung. Web3Auth und Partner haben laut KuCoin News damit begonnen, Guthaben aus noch nicht angegriffenen, aber gefährdeten Wallets in Sicherheit zu bringen. Dafür nutzten sie nach eigenen Angaben denselben Weg wie der ursprüngliche Angreifer. Keplr warnte deshalb, dass manche Konten mit Google- oder Apple-Login nach dieser Rettung ein verringertes oder leeres Guthaben zeigen können.

Ein leeres Konto heißt also nicht automatisch, dass die Coins gestohlen sind. Web3Auth stellt nach dem Bericht eine geprüfte Liste der Adressen zusammen, auf die gerettete Mittel geflossen sind. Damit sollen Nutzer und die Teams der betroffenen Blockchains rechtmäßige Rettungsüberweisungen von den Transaktionen des Angreifers unterscheiden können. Eine unbekannte Zieladresse solle niemand vorschnell dem Angreifer zuordnen, so Web3Auth.

Zusätzlich arbeitet Keplr nach eigenen Angaben mit Web3Auth an einer Möglichkeit, mit der Nutzer selbst nachsehen können, ob ihr Konto betroffen ist. Einen Termin dafür gibt es noch nicht.

Cosmos, Injective und Osmosis: Auf welchen Blockchains Abflüsse auffielen

Community-Ermittler verfolgten laut Crypto Adventure verdächtige Bewegungen mit Injective (INJ), Osmosis (OSMO) und Cosmos Hub (ATOM). Das passt zum Profil der Wallet, die vor allem im Cosmos-Ökosystem genutzt wird. Eine offizielle Liste der betroffenen Netzwerke haben weder Keplr noch Web3Auth veröffentlicht.

Für Halter von Cosmos (ATOM) oder Injective (INJ) ist wichtig, wo die eigenen Coins liegen. Wer sie an einer Börse oder in einer Wallet mit eigener Seed Phrase hält, ist von diesem Vorfall nicht erfasst. Wer zum Vergleich wissen will, welche Wallet-Programme ganz ohne fremden Schlüsseldienst auskommen, findet sie im Software-Wallet-Vergleich.

So schützt du dich vor dem Web3Auth-Angriff auf Social-Login-Wallets

Was passiert ist: Am 6. November 2026 meldeten Keplr-Nutzer unbefugte Transaktionen bei Wallets, die per Google- oder Apple-Login über Web3Auth erstellt worden waren. Web3Auth führt den Vorfall auf eine Lücke in seiner Infrastruktur zurück, über die private Schlüssel offengelegt wurden. Eine bestätigte Schadenssumme gibt es mit Stand 7. November nicht.

Bist du betroffen? Betroffen sein kann, wer in Keplr ein Konto über „Mit Google anmelden“ oder „Mit Apple anmelden“ angelegt hat. Wer seine Keplr Wallet mit einer Seed Phrase erstellt oder an eine Hardware-Wallet gekoppelt hat, ist nach der vorläufigen Prüfung von Keplr nicht betroffen. Ob ein einzelnes Social-Login-Konto angegriffen wurde, lässt sich bisher nur am Guthaben und an den Transaktionen im Block-Explorer erkennen.

1. Keine Einzahlung: Überweise kein neues Geld und keine Staking-Belohnung auf ein Keplr-Konto mit Google- oder Apple-Login, bis Keplr den Dienst wieder freigibt.
2. Restguthaben umziehen: Lege in Keplr oder einer anderen Wallet ein neues Konto mit eigener Seed Phrase an und verschiebe frei verfügbare Coins dorthin, so wie es Keplr Betroffenen rät.
3. Kein Re-Import: Importiere das Social-Login-Konto nicht in eine andere App und erstelle es nicht neu, solange die Untersuchung läuft.
4. Falsche Retter ignorieren: Antworte auf keine Direktnachricht, die eine Rückholung deiner Coins anbietet, und gib nirgendwo einen Schlüssel oder eine Seed Phrase ein.
5. Adressliste abwarten: Zeigt dein Konto ein leeres Guthaben, gleiche die Zieladresse mit der angekündigten Rettungsliste von Web3Auth ab, bevor du von Diebstahl ausgehst.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Seed Phrase oder Hardware-Wallet: Diese Keplr-Konten bleiben unberührt

Bei einer Wallet mit Seed Phrase entsteht der private Schlüssel auf dem Gerät des Nutzers und verlässt es nicht. Kein Dienstleister hält einen Teil davon. Eine Hardware-Wallet geht noch einen Schritt weiter: Sie ist ein eigenes kleines Gerät, das den Schlüssel speichert und jede Transaktion selbst signiert, sodass der Schlüssel auch den Computer oder das Smartphone nie erreicht.

Genau diese Trennung erklärt, warum der Web3Auth-Vorfall nur Social-Login-Konten erfasst. Die Kehrseite: Wer die Seed Phrase verliert, verliert den Zugang dauerhaft, und niemand kann helfen. Eine Abschrift auf Papier oder eine gestanzte Metallplatte an einem sicheren Ort gehört deshalb zu jeder Wallet mit eigenem Schlüssel.

Staking bei Keplr: Gebundene Coins verzögern die Rettung

Viele Keplr-Nutzer staken ihre Coins, sie binden sie also an einen Validator, um Belohnungen zu erhalten. Gestakte Coins lassen sich im Cosmos-Ökosystem nicht sofort bewegen, sie unterliegen beim Abziehen einer Wartezeit. Keplr wies laut KuCoin News darauf hin, dass gestakte und gesperrte Guthaben die Rettung komplizierter machen und verlangsamen.

Für Betroffene heißt das: Frei verfügbare Coins lassen sich nach dem Rat von Keplr auf ein sicheres Konto umziehen, gebundene Coins nicht ohne Weiteres. Wer gestakte Bestände auf einem Social-Login-Konto hat, sollte die Mitteilungen von Keplr auf dem offiziellen X-Konto verfolgen, über das die Wallet nach eigenen Angaben geprüfte Neuigkeiten verbreitet.

Phishing nach dem Keplr-Vorfall: Falsche Helfer in Direktnachrichten

Nach jedem größeren Vorfall tauchen Betrüger auf, die sich als Support oder Rettungsdienst ausgeben. Keplr warnte ausdrücklich vor unaufgeforderten Angeboten zur Wiederherstellung, vor gefälschten Support-Nachrichten und vor Links, die versprechen, gestohlene Coins zurückzuholen. Kein seriöser Anbieter fragt nach einer Seed Phrase oder einem privaten Schlüssel.

Ein sicherer Weg führt immer über die offizielle Seite oder das offizielle Konto des Anbieters, das du selbst aufrufst, nie über einen zugeschickten Link. Ein echtes Rettungsangebot von Keplr oder Web3Auth würde öffentlich angekündigt und nicht per privater Nachricht verteilt.

Keplr nach Web3Auth: Neues Geld nur noch auf Konten mit eigener Seed Phrase

Eine Erstattung oder ein Termin für die Rückkehr des Social Login ist mit Stand 7. November nicht angekündigt. Bis Keplr ein Prüfwerkzeug und Web3Auth die Adressliste vorlegt, bleibt der sichere Weg der Umzug auf ein Konto mit eigenem Schlüssel. Drei Schritte bringen dich dorthin:

1. Gerät wählen: Für größere Bestände ist eine Hardware-Wallet der stärkste Schutz, die Modelle mit Cosmos-Unterstützung findest du im Hardware-Wallet-Vergleich.
2. Wallet-App mit Seed Phrase: Für kleinere Beträge reicht eine Software-Wallet, bei der du den Wiederherstellungssatz selbst erzeugst; Anbieter stehen im Software-Wallet-Vergleich.
3. Handel getrennt halten: Coins, die du handeln willst, gehören auf eine Börse mit Zulassung nach der EU-Verordnung MiCA, eine Übersicht bietet der Vergleich der regulierten Kryptobörsen.

(Stand: 7. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)