Keplr Wallet stopt met inloggen via Google en Apple na lek bij Web3Auth

Heb je je Keplr Wallet aangemaakt via een Google- of Apple-account, stort er dan voorlopig geen nieuw geld op. Keplr heeft het inloggen via Google en Apple op 6 november 2026 stopgezet, nadat gebruikers ongeautoriseerde transacties hadden gemeld. Volgens de betrokken bedrijven ligt de oorzaak bij dienstverlener Web3Auth, die voor Keplr de sleutels van deze accounts genereert. Accounts met een eigen seed phrase en accounts die aan een hardware wallet gekoppeld zijn, zijn volgens het voorlopige onderzoek van Keplr niet getroffen.

Keplr is een wallet voor meerdere blockchains, met het zwaartepunt in het Cosmos-ecosysteem. Hij wordt ontwikkeld door het bedrijf Chainapsis. Veel beleggers gebruiken hem om munten als ATOM, OSMO of INJ te bewaren en te staken. Het incident treft daarmee precies de groep die een wallet zo gemakkelijk mogelijk wilde inrichten: zonder briefje met 12 of 24 woorden, alleen met een klik op ‘Inloggen met Google’.

Keplr Wallet gehackt: wat er bekend is over de ongeautoriseerde transacties

Volgens een artikel van Crypto Adventure van 7 november 2026 meldden gebruikers dat er geld was weggevloeid uit wallets die ze via een Google- of Apple-login hadden aangemaakt. Keplr schakelde daarop het inloggen via beide diensten uit en begon samen met Web3Auth een onderzoek. Josh Lee, medeoprichter van Chainapsis, schatte volgens hetzelfde bericht dat ongeveer 20 procent van de accounts met social login getroffen kan zijn; slechts een deel daarvan zou daadwerkelijk zijn misbruikt.

Een bevestigd schadebedrag is er nog niet. Keplr noch Web3Auth heeft het aantal getroffen accounts of de waarde van de weggevloeide munten bekendgemaakt. Schattingen uit de community die op sociale media rondgaan, lopen sterk uiteen en zijn door geen van beide bedrijven bevestigd. Het enige houvast tot nu toe is het onderscheid naar de manier waarop een account is aangemaakt.

Volgens Crypto Adventure benadrukte Lee bovendien dat de fout niet in de programmacode van de Keplr-app zelf zit. Voor gedupeerden verandert dat weinig, maar het verklaart waarom Keplr het herstel niet alleen in handen heeft.

Web3Auth zet embedded wallets stil: de reactie van 6 november

Web3Auth bevestigde op 6 november een beveiligingsincident bij diensten die sommige externe aanbieders gebruiken. Het bedrijf zette zijn dienst voor zogeheten embedded wallets tijdelijk stil. Een embedded wallet is een wallet die een app rechtstreeks in het eigen aanbod inbouwt, zodat de gebruiker geen aparte walletsoftware en geen eigen herstelzin nodig heeft.

Na een eerste onderzoek vond Web3Auth naar eigen zeggen geen aanwijzingen dat gebruikers van MetaMask getroffen zijn. Die toevoeging heeft een reden: volgens Crypto Adventure is Web3Auth sinds 2025 eigendom van Consensys, de ontwikkelaar van MetaMask. Wie MetaMask op de klassieke manier met een eigen seed phrase gebruikt, valt voor zover nu bekend buiten dit incident.

Social login via Google en Apple: hoe Keplr de sleutel zonder seed phrase aanmaakt

In de kern is een wallet een privésleutel. Wie die kent, kan over de munten beschikken. Bij een klassieke wallet maakt het apparaat van de gebruiker deze sleutel aan en toont hem als seed phrase: een reeks van 12 of 24 woorden waaruit de sleutel op elk moment opnieuw kan worden afgeleid.

Bij social login werkt dat anders. Volgens de documentatie van Keplr, waarnaar een bericht van KuCoin News van 7 november verwijst, genereert Web3Auth bij accounts met Google-login de privésleutel in plaats van een seed phrase. Web3Auth werkt daarbij met gedistribueerde sleutelgeneratie: de sleutel wordt in delen opgesplitst die op verschillende plekken liggen en pas bij het inloggen weer samenwerken. De gebruiker merkt daar niets van en logt gewoon in met zijn Google- of Apple-account.

Dat gemak heeft een prijs. De veiligheid van het account hangt niet meer alleen af van de gebruiker, maar ook van de infrastructuur van de dienstverlener. Valt daar een onderdeel uit of wordt het aangevallen, dan kan de gebruiker er zelf niets tegen doen, hoe zorgvuldig hij zijn Google-account ook beveiligt.

Oorzaak volgens Web3Auth: een lek in de infrastructuur legde privésleutels bloot

Op 7 november noemde Web3Auth volgens KuCoin News voor het eerst een oorzaak: een kwetsbaarheid in de eigen infrastructuur, die tot het uitlekken van privésleutels heeft geleid. Getroffen zouden enkele gebruikers zijn die via Google of Apple inlogden. Hoe de aanvallers het lek precies hebben benut, hebben beide bedrijven nog niet bekendgemaakt. Web3Auth kondigde aan meer details te geven zodra het veiligstellen van de tegoeden is afgerond.

Voor de duiding volstaat wat al bekend is. Wie de privésleutel van een wallet heeft, heeft geen wachtwoord en geen bevestiging van de eigenaar meer nodig. Zo’n uitstroom is ook niet met een terugboeking ongedaan te maken, want transacties op een blockchain zijn definitief.

Beschermende overboekingen bij Keplr: waarom een saldo ook zonder aanvaller leeg kan zijn

Eén detail zorgt bij gedupeerden voor verwarring. Volgens KuCoin News zijn Web3Auth en partners begonnen met het veiligstellen van tegoeden uit wallets die nog niet waren aangevallen, maar wel gevaar liepen. Daarvoor gebruikten ze naar eigen zeggen dezelfde route als de oorspronkelijke aanvaller. Keplr waarschuwde daarom dat sommige accounts met Google- of Apple-login na deze reddingsactie een lager of leeg saldo kunnen tonen.

Een leeg account betekent dus niet automatisch dat de munten gestolen zijn. Volgens het bericht stelt Web3Auth een geverifieerde lijst op van de adressen waarnaar geredde tegoeden zijn overgemaakt. Daarmee moeten gebruikers en de teams van de getroffen blockchains rechtmatige reddingsoverboekingen kunnen onderscheiden van de transacties van de aanvaller. Een onbekend bestemmingsadres moet niemand te snel aan de aanvaller toeschrijven, aldus Web3Auth.

Daarnaast werkt Keplr naar eigen zeggen met Web3Auth aan een mogelijkheid waarmee gebruikers zelf kunnen nagaan of hun account getroffen is. Een datum daarvoor is er nog niet.

Cosmos, Injective en Osmosis: op welke blockchains uitstroom werd opgemerkt

Volgens Crypto Adventure volgden onderzoekers uit de community verdachte bewegingen met Injective (INJ), Osmosis (OSMO) en Cosmos Hub (ATOM). Dat past bij het profiel van de wallet, die vooral in het Cosmos-ecosysteem wordt gebruikt. Een officiële lijst van getroffen netwerken hebben Keplr en Web3Auth niet gepubliceerd.

Heb je Cosmos (ATOM) of Injective (INJ), dan telt vooral waar je munten staan. Wie ze op een exchange of in een wallet met eigen seed phrase aanhoudt, valt buiten dit incident. Wil je ter vergelijking weten welke walletprogramma’s helemaal zonder externe sleuteldienst werken, kijk dan naar softwarewallets waarbij je de herstelzin zelf aanmaakt.

Zo bescherm je je tegen de Web3Auth-aanval op wallets met social login

Wat er is gebeurd: op 6 november 2026 meldden Keplr-gebruikers ongeautoriseerde transacties bij wallets die via een Google- of Apple-login met Web3Auth waren aangemaakt. Web3Auth wijt het incident aan een lek in zijn infrastructuur, waardoor privésleutels zijn blootgelegd. Een bevestigd schadebedrag is er per 7 november niet.

Ben jij getroffen? Getroffen kan zijn wie in Keplr een account heeft aangemaakt via ‘Inloggen met Google’ of ‘Inloggen met Apple’. Wie zijn Keplr Wallet met een seed phrase heeft aangemaakt of aan een hardware wallet heeft gekoppeld, is volgens het voorlopige onderzoek van Keplr niet getroffen. Of een afzonderlijk account met social login is aangevallen, valt tot nu toe alleen af te lezen aan het saldo en de transacties in een block explorer.

1. Niets storten: maak geen nieuw geld en geen stakingbeloningen over naar een Keplr-account met Google- of Apple-login, totdat Keplr de dienst weer vrijgeeft.
2. Restsaldo verhuizen: maak in Keplr of een andere wallet een nieuw account aan met een eigen seed phrase en zet vrij beschikbare munten daarnaartoe over, zoals Keplr gedupeerden aanraadt.
3. Niet opnieuw importeren: importeer het social-login-account niet in een andere app en maak het niet opnieuw aan zolang het onderzoek loopt.
4. Valse redders negeren: reageer op geen enkel privébericht dat aanbiedt je munten terug te halen, en voer nergens een sleutel of seed phrase in.
5. Adressenlijst afwachten: toont je account een leeg saldo, vergelijk het bestemmingsadres dan met de aangekondigde reddingslijst van Web3Auth voordat je van diefstal uitgaat.

De basis van veilig bewaren lees je in onze gids crypto veilig bewaren, de passende apparaten zet de vergelijking van hardware wallets naast elkaar.

Seed phrase of hardware wallet: deze Keplr-accounts blijven buiten schot

Bij een wallet met seed phrase ontstaat de privésleutel op het apparaat van de gebruiker en verlaat hij dat nooit. Geen enkele dienstverlener beheert er een deel van. Een hardware wallet gaat nog een stap verder: het is een eigen klein apparaat dat de sleutel opslaat en elke transactie zelf ondertekent, zodat de sleutel zelfs de computer of smartphone nooit bereikt.

Juist die scheiding verklaart waarom het Web3Auth-incident alleen accounts met social login treft. De keerzijde: wie de seed phrase kwijtraakt, verliest de toegang voorgoed, en niemand kan helpen. Een afschrift op papier of een gestanste metalen plaat op een veilige plek hoort daarom bij elke wallet met een eigen sleutel.

Staking bij Keplr: vastgezette munten vertragen de redding

Veel Keplr-gebruikers staken hun munten: ze verbinden ze aan een validator om beloningen te ontvangen. In het Cosmos-ecosysteem zijn gestakete munten niet direct te verplaatsen, bij het opnemen geldt een wachttijd. Volgens KuCoin News wees Keplr erop dat gestakete en vergrendelde tegoeden de redding ingewikkelder en trager maken.

Voor gedupeerden betekent dat: vrij beschikbare munten kun je volgens het advies van Keplr naar een veilig account verhuizen, vastgezette munten niet zonder meer. Heb je gestakete posities op een account met social login, volg dan de mededelingen van Keplr op het officiële X-account, waarlangs de wallet naar eigen zeggen geverifieerd nieuws verspreidt.

Phishing na het Keplr-incident: valse helpers in privéberichten

Na elk groter incident duiken oplichters op die zich voordoen als support of reddingsdienst. Keplr waarschuwde uitdrukkelijk voor ongevraagde herstelaanbiedingen, vervalste supportberichten en links die beloven gestolen munten terug te halen. Geen serieuze aanbieder vraagt om een seed phrase of een privésleutel.

Een veilige route loopt altijd via de officiële website of het officiële account van de aanbieder, die je zelf opent, nooit via een toegestuurde link. Een echt reddingsaanbod van Keplr of Web3Auth zou openbaar worden aangekondigd en niet via een privébericht worden verspreid.

Keplr na Web3Auth: nieuw geld alleen nog op accounts met eigen seed phrase

Een vergoeding of een datum voor de terugkeer van social login is per 7 november niet aangekondigd. Totdat Keplr een controletool en Web3Auth de adressenlijst presenteert, blijft verhuizen naar een account met een eigen sleutel de veilige weg. Drie stappen brengen je daar:

1. Apparaat kiezen: voor grotere bedragen biedt een hardware wallet de sterkste bescherming; de modellen met ondersteuning voor Cosmos vind je in de vergelijking van hardware wallets.
2. Wallet-app met seed phrase: voor kleinere bedragen volstaat een softwarewallet waarbij je de herstelzin zelf aanmaakt; aanbieders vind je in een vergelijking van softwarewallets.
3. Handel gescheiden houden: munten waarmee je wilt handelen, horen thuis op een exchange met een vergunning onder de Europese MiCA-verordening; een overzicht biedt een vergelijking van gereguleerde cryptobeurzen.

(Per 7 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)