Keplr Wallet suspend la connexion Google et Apple après une faille chez Web3Auth

Si vous avez créé votre Keplr Wallet avec un compte Google ou Apple, n’y versez plus de fonds pour le moment. Keplr a suspendu la connexion via Google et Apple le 6 novembre 2026, après que des utilisateurs ont signalé des transactions non autorisées. Selon les entreprises concernées, l’origine se trouve chez le prestataire Web3Auth, qui génère pour Keplr les clés de ces comptes. Les comptes dotés de leur propre phrase de récupération et ceux reliés à un portefeuille matériel ne sont pas touchés, d’après l’examen préliminaire de Keplr.

Keplr est un portefeuille multichaîne, centré sur l’écosystème Cosmos. Il est développé par la société Chainapsis. De nombreux investisseurs l’utilisent pour détenir et staker des cryptos comme l’ATOM, l’OSMO ou l’INJ. L’incident frappe donc précisément ceux qui voulaient le portefeuille le plus simple à installer : pas de feuille avec 12 ou 24 mots, juste un clic sur « Se connecter avec Google ».

Faille Keplr Wallet : ce que l’on sait des transactions non autorisées

D’après un article de Crypto Adventure du 7 novembre 2026, des utilisateurs ont signalé des sorties de fonds sur des portefeuilles créés via une connexion Google ou Apple. Keplr a alors désactivé la connexion par ces deux services et ouvert une enquête avec Web3Auth. Josh Lee, cofondateur de Chainapsis, estime selon la même source qu’environ 20 % des comptes à connexion sociale pourraient être concernés, une partie seulement ayant été effectivement exploitée.

Aucun montant de préjudice n’est confirmé à ce stade. Ni Keplr ni Web3Auth n’ont chiffré le nombre de comptes touchés ni la valeur des cryptos dérobées. Les estimations qui circulent sur les réseaux sociaux divergent fortement et n’ont été confirmées par aucune des deux sociétés. La seule distinction fiable repose pour l’instant sur la manière dont le compte a été créé.

Selon Crypto Adventure, Josh Lee a également souligné que l’erreur ne se trouve pas dans le code de l’application Keplr elle-même. Cela change peu de chose pour les victimes, mais explique pourquoi Keplr ne maîtrise pas seul la récupération.

Web3Auth suspend ses portefeuilles intégrés : la réaction du 6 novembre

Le 6 novembre, Web3Auth a confirmé un incident de sécurité touchant des services utilisés par certains prestataires tiers. L’entreprise a suspendu temporairement son service de portefeuilles dits intégrés (embedded wallets). Un portefeuille intégré est directement incorporé par une application dans sa propre offre, si bien que l’utilisateur n’a besoin ni d’un logiciel de portefeuille distinct ni de sa propre phrase de récupération.

Après une première analyse, Web3Auth affirme n’avoir trouvé aucun indice que les utilisateurs de MetaMask soient concernés. La précision n’est pas anodine : selon Crypto Adventure, Web3Auth appartient depuis 2025 à Consensys, le développeur de MetaMask. Qui utilise MetaMask de façon classique, avec sa propre phrase de récupération, n’est pas touché par cet incident en l’état des connaissances.

Connexion sociale via Google et Apple : comment Keplr crée la clé sans phrase de récupération

Un portefeuille est avant tout une clé privée. Qui la connaît dispose des cryptos. Dans un portefeuille classique, l’appareil de l’utilisateur génère cette clé et l’affiche sous forme de phrase de récupération, une suite de 12 ou 24 mots à partir de laquelle la clé peut être reconstituée à tout moment.

La connexion sociale fonctionne autrement. Selon la documentation de Keplr citée par une dépêche de KuCoin News du 7 novembre, Web3Auth génère la clé privée des comptes à connexion Google à la place d’une phrase de récupération. Web3Auth recourt à une génération de clé distribuée : la clé est découpée en fragments stockés à différents endroits, qui ne se recombinent qu’au moment de la connexion. L’utilisateur n’en voit rien, il se connecte simplement avec son compte Google ou Apple.

Ce confort a un prix. La sécurité du compte ne dépend plus seulement de l’utilisateur, mais aussi de l’infrastructure du prestataire. Si un maillon y fait défaut ou est attaqué, l’utilisateur n’y peut rien, aussi soigneusement qu’il protège son compte Google.

Cause selon Web3Auth : une faille d’infrastructure a exposé des clés privées

Le 7 novembre, selon KuCoin News, Web3Auth a pour la première fois avancé une cause : une vulnérabilité dans sa propre infrastructure, qui a conduit à une fuite de clés privées. Certains utilisateurs connectés via Google ou Apple seraient concernés. Les deux sociétés n’ont pas encore expliqué comment les attaquants ont exploité la faille. Web3Auth a promis de livrer davantage de détails une fois la récupération des fonds achevée.

Ce que l’on sait suffit pour situer l’incident. Qui détient la clé privée d’un portefeuille n’a besoin ni de mot de passe ni de la confirmation du propriétaire. Une telle sortie de fonds ne peut pas non plus être annulée par une contrepassation, car les transactions sur une blockchain sont définitives.

Transferts de protection chez Keplr : pourquoi un solde peut être vide sans attaquant

Un détail sème la confusion chez les personnes concernées. Selon KuCoin News, Web3Auth et ses partenaires ont commencé à mettre à l’abri les fonds de portefeuilles pas encore attaqués mais menacés. Ils ont pour cela emprunté, selon leurs propres dires, la même voie que l’attaquant initial. Keplr a donc averti que certains comptes à connexion Google ou Apple pouvaient afficher un solde réduit, voire nul, après ce sauvetage.

Un compte vide ne signifie donc pas automatiquement que les cryptos ont été volées. D’après la dépêche, Web3Auth établit une liste vérifiée des adresses vers lesquelles les fonds sauvés ont été transférés. Les utilisateurs et les équipes des blockchains concernées doivent ainsi pouvoir distinguer les transferts de sauvetage légitimes des transactions de l’attaquant. Web3Auth demande de ne pas attribuer trop vite une adresse de destination inconnue à l’attaquant.

Keplr indique par ailleurs travailler avec Web3Auth sur un outil permettant aux utilisateurs de vérifier eux-mêmes si leur compte est touché. Aucune date n’a encore été fixée.

Cosmos, Injective et Osmosis : les blockchains où des sorties ont été repérées

Selon Crypto Adventure, des enquêteurs de la communauté ont suivi des mouvements suspects portant sur Injective (INJ), Osmosis (OSMO) et Cosmos Hub (ATOM). Cela correspond au profil d’un portefeuille surtout utilisé dans l’écosystème Cosmos. Ni Keplr ni Web3Auth n’ont publié de liste officielle des réseaux touchés.

Pour les détenteurs de Cosmos (ATOM) ou d’Injective (INJ), l’essentiel est de savoir où se trouvent leurs cryptos. Celles conservées sur une plateforme d’échange ou dans un portefeuille avec phrase de récupération personnelle ne sont pas concernées par cet incident. Pour comparer les applications de portefeuille qui se passent entièrement d’un service de clés tiers, consultez notre comparatif des portefeuilles logiciels.

Comment se protéger après l’attaque Web3Auth contre les portefeuilles à connexion sociale

Ce qui s’est passé : le 6 novembre 2026, des utilisateurs de Keplr ont signalé des transactions non autorisées sur des portefeuilles créés via une connexion Google ou Apple par l’intermédiaire de Web3Auth. Web3Auth attribue l’incident à une faille de son infrastructure ayant exposé des clés privées. Au 7 novembre, aucun montant de préjudice n’est confirmé.

Êtes-vous concerné ? Vous pouvez l’être si vous avez créé un compte Keplr via « Se connecter avec Google » ou « Se connecter avec Apple ». Si vous avez créé votre Keplr Wallet avec une phrase de récupération ou l’avez relié à un portefeuille matériel, vous n’êtes pas concerné selon l’examen préliminaire de Keplr. Pour l’instant, seuls le solde et les transactions visibles dans un explorateur de blocs permettent de savoir si un compte à connexion sociale a été attaqué.

1. Aucun versement : n’envoyez ni nouveaux fonds ni récompenses de staking vers un compte Keplr à connexion Google ou Apple tant que Keplr n’a pas rétabli le service.
2. Transférer le solde restant : créez dans Keplr ou dans un autre portefeuille un nouveau compte avec votre propre phrase de récupération et transférez-y les cryptos disponibles, comme Keplr le conseille aux personnes concernées.
3. Pas de réimportation : n’importez pas le compte à connexion sociale dans une autre application et ne le recréez pas tant que l’enquête est en cours.
4. Ignorer les faux sauveteurs : ne répondez à aucun message privé proposant de récupérer vos cryptos et ne saisissez jamais de clé ni de phrase de récupération.
5. Attendre la liste d’adresses : si votre compte affiche un solde nul, comparez l’adresse de destination avec la liste de sauvetage annoncée par Web3Auth avant de conclure à un vol.

Les bases d’une conservation sûre sont expliquées dans notre guide conserver ses cryptos en sécurité, et le comparatif des portefeuilles matériels présente les appareils adaptés.

Phrase de récupération ou portefeuille matériel : ces comptes Keplr restent épargnés

Dans un portefeuille avec phrase de récupération, la clé privée est créée sur l’appareil de l’utilisateur et ne le quitte jamais. Aucun prestataire n’en détient une partie. Un portefeuille matériel va plus loin : c’est un petit appareil dédié qui stocke la clé et signe lui-même chaque transaction, si bien que la clé n’atteint jamais l’ordinateur ni le smartphone.

Cette séparation explique pourquoi l’incident Web3Auth ne touche que les comptes à connexion sociale. Le revers de la médaille : qui perd sa phrase de récupération perd l’accès pour toujours, et personne ne peut l’aider. Une copie sur papier ou une plaque métallique poinçonnée, rangée en lieu sûr, fait donc partie de tout portefeuille à clé personnelle.

Staking sur Keplr : les cryptos bloquées ralentissent le sauvetage

De nombreux utilisateurs de Keplr stakent leurs cryptos, c’est-à-dire qu’ils les délèguent à un validateur pour percevoir des récompenses. Dans l’écosystème Cosmos, les cryptos stakées ne peuvent pas être déplacées immédiatement : leur retrait est soumis à un délai d’attente. Selon KuCoin News, Keplr a souligné que les soldes stakés et bloqués rendent le sauvetage plus complexe et plus lent.

Pour les personnes concernées, cela signifie que les cryptos disponibles peuvent être transférées vers un compte sûr, comme le recommande Keplr, mais pas les cryptos bloquées. Si vous détenez des positions stakées sur un compte à connexion sociale, suivez les annonces de Keplr sur son compte X officiel, par lequel le portefeuille dit diffuser des informations vérifiées.

Hameçonnage après l’incident Keplr : de faux sauveteurs en messages privés

Chaque incident d’ampleur fait surgir des escrocs qui se font passer pour le support ou pour un service de récupération. Keplr a expressément mis en garde contre les offres de récupération non sollicitées, les faux messages du support et les liens promettant de rapatrier des cryptos volées. Aucun prestataire sérieux ne demande une phrase de récupération ou une clé privée.

La voie sûre passe toujours par le site officiel ou le compte officiel du prestataire, que vous ouvrez vous-même, jamais par un lien reçu. Une véritable offre de sauvetage de Keplr ou de Web3Auth serait annoncée publiquement et non diffusée par message privé.

Keplr après Web3Auth : de nouveaux fonds uniquement sur des comptes à phrase personnelle

Au 7 novembre, ni remboursement ni date de retour de la connexion sociale n’ont été annoncés. Tant que Keplr n’a pas livré d’outil de vérification et que Web3Auth n’a pas publié la liste d’adresses, la voie sûre reste le transfert vers un compte doté de sa propre clé. Trois étapes y mènent :

1. Choisir un appareil : pour des avoirs importants, un portefeuille matériel offre la meilleure protection ; les modèles compatibles Cosmos figurent dans le comparatif des portefeuilles matériels.
2. Application avec phrase de récupération : pour de petits montants, un portefeuille logiciel dont vous générez vous-même la phrase de récupération suffit ; les prestataires figurent dans le comparatif des portefeuilles logiciels.
3. Séparer le trading : les cryptos que vous souhaitez négocier ont leur place sur une plateforme agréée au titre du règlement européen MiCA ; le comparatif des plateformes crypto réglementées en donne un aperçu.

(Au 7 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)