Keplr désactive la connexion via Google et Apple après qu’une faille chez Web3Auth, propriété de Consensys, a exposé des clés de portefeuille et qu’environ 6 millions de dollars sont sortis de comptes Cosmos

Keplr, un portefeuille conçu pour les réseaux basés sur Cosmos, a désactivé son option de connexion via Google et Apple après que des attaquants ont vidé des comptes créés de cette manière. L’entreprise affirme que le code de son propre portefeuille n’a pas été compromis. Elle désigne plutôt Web3Auth, le service externe qui crée une clé privée pour les utilisateurs qui se connectent avec un compte Google ou Apple au lieu de noter une phrase de récupération (seed phrase). Web3Auth, qui appartient à Consensys, développeur de MetaMask, a reconnu un problème dans son infrastructure ayant exposé des clés privées et a suspendu son service de portefeuille intégré.

Bitquery a comptabilisé environ 6 millions de dollars envoyés vers deux adresses de collecte, dont environ 3,5 millions de dollars provenant de Cosmos Hub, rapporte crypto.news. Josh Lee, cofondateur de Chainapsis, le développeur de Keplr, a estimé qu’environ 20 % des comptes à connexion sociale pourraient être touchés, dont seulement une partie effectivement vidée.

Le nettoyage est chaotique. Web3Auth et ses partenaires ont commencé à transférer les fonds des portefeuilles exposés qui n’avaient pas encore été attaqués, en empruntant la même voie que l’attaquant, si bien que certains utilisateurs pourraient constater que leur solde a diminué ou est vide en raison du sauvetage, a averti Keplr samedi. Web3Auth affirme n’avoir trouvé aucun signe que des utilisateurs de MetaMask aient été touchés.

Keplr demande aux utilisateurs de la connexion sociale de ne plus déposer de fonds et de transférer ce qui reste vers un compte à phrase de récupération ou à portefeuille matériel. Web3Auth prévoit de publier une liste vérifiée des adresses détenant les fonds sauvés.