Imaginez ouvrir votre application de portefeuille un matin et découvrir que des fonds ont disparu sans que vous ayez rien fait. C’est exactement ce qui est arrivé à des milliers d’utilisateurs de Keplr ces derniers jours. Une faille liée à un prestataire d’authentification a permis le drainage de plus de six millions de dollars sur plusieurs réseaux Cosmos. Le portefeuille a immédiatement suspendu les connexions Google et Apple. Derrière ce chiffre impressionnant se cache une réalité plus complexe encore : une partie des mouvements observés pourrait provenir d’opérations de récupération légitimes. Voici tout ce que l’on sait pour l’instant, sans filtre et avec le maximum de clarté.
Une faille d’authentification sociale qui secoue l’écosystème Cosmos
Keplr n’est pas un petit acteur. C’est l’un des portefeuilles les plus utilisés dans l’univers Cosmos. Des dizaines de milliers de personnes s’en servent quotidiennement pour interagir avec Cosmos Hub, Osmosis, Celestia, Akash, Noble, Babylon, dYdX ou encore Injective. Beaucoup d’entre elles avaient choisi la facilité : se connecter avec leur compte Google ou Apple plutôt que de gérer une phrase de récupération. C’est précisément cette commodité qui a servi de porte d’entrée.
Dans un avis de sécurité publié le 7 novembre, l’équipe de Keplr a confirmé avoir reçu de nombreux signalements de transactions non autorisées. Ces opérations concernaient uniquement les comptes créés via connexion sociale. Le co-fondateur Josh Lee a rapidement précisé que le code du portefeuille lui-même n’avait pas été compromis. Le problème venait de Web3Auth, un prestataire d’authentification appartenant à Consensys, qui permet de créer des portefeuilles intégrés sans que l’utilisateur ait à gérer lui-même ses clés privées au départ.
Web3Auth a reconnu un problème d’infrastructure affectant certains portefeuilles intégrés utilisés par Keplr. Le service a été temporairement suspendu le temps de l’enquête. L’entreprise a également affirmé qu’aucune preuve n’indiquait que les utilisateurs de MetaMask étaient touchés. En revanche, elle n’a pas encore fourni la liste complète des autres applications potentiellement exposées ni le détail technique exact de l’intrusion.
Ce que révèlent les analyses blockchain
Les données on-chain ne mentent pas. La société Bitquery a retracé environ 6,01 millions de dollars de transferts vers deux adresses de collecte entre le 6 et le 7 novembre. L’enquête a identifié 44 041 portefeuilles sur sept réseaux Cosmos, auxquels s’ajoutent 7 603 adresses touchées sur Injective. Après déduction des doublons, le nombre de portefeuilles distincts s’élève à environ 44 700.
Cosmos Hub concentre à lui seul près de 3,5 millions de dollars des fonds concernés. Le reste se répartit entre Osmosis, Celestia, Akash, Noble, Babylon, dYdX et Injective. Fait marquant : environ 86 % des portefeuilles touchés sur les sept réseaux liés ont connu des sorties de fonds après l’avertissement initial de Keplr. Les transactions continuaient encore d’être observées sur Cosmos Hub le 7 novembre.
Autre élément technique important : près de 1,96 million d’ATOM stakés ont été déplacés grâce à un mécanisme de tokenisation des parts de staking. Cette méthode permet de faire circuler la position sans attendre le délai habituel de 21 jours de déblocage. Sur le papier, cela ressemble à un vol massif. La réalité est toutefois plus nuancée.
Whitehat recovery : quand les sauveteurs imitent les attaquants
Web3Auth a lancé des opérations de récupération whitehat. Des équipes autorisées utilisent exactement le même chemin technique que celui exploité par les attaquants pour déplacer les fonds restants vers des adresses sécurisées avant qu’ils ne soient siphonnés. Résultat : certains mouvements de protection ressemblent à s’y méprendre à des drains malveillants. Plusieurs utilisateurs ont donc vu leur solde diminuer ou s’afficher à zéro sans qu’il s’agisse nécessairement d’un vol définitif.
Josh Lee estime qu’environ 20 % des comptes créés via Google ou Apple pourraient être exposés, mais qu’une fraction seulement a réellement été exploitée. La majorité des comptes potentiellement vulnérables resterait récupérable. Les actifs liquides sont prioritaires. Les positions stakées ou verrouillées demandent des procédures plus longues et plus complexes.
Keplr n’a pour l’instant annoncé aucun programme de remboursement officiel pour les pertes confirmées. L’équipe travaille avec Web3Auth afin de permettre aux utilisateurs de vérifier si leur compte figure parmi ceux touchés. En attendant, le message est clair : ne plus envoyer de fonds vers les comptes créés via connexion sociale et transférer dès que possible tout solde restant vers un portefeuille basé sur une phrase de récupération ou un hardware wallet.
Pourquoi les connexions sociales restent un risque structurel
La promesse des logins Google et Apple est séduisante. Plus besoin de noter douze ou vingt-quatre mots, plus de risque de perdre sa seed phrase. L’expérience utilisateur devient aussi simple que de se connecter à un service web classique. Mais cette simplicité a un prix : la confiance placée dans un tiers qui détient, d’une manière ou d’une autre, les moyens de reconstruire ou d’accéder aux clés privées.
Dans le cas de Web3Auth, l’infrastructure qui génère et sécurise ces clés intégrées a connu une défaillance. Une fois les clés exposées, les fonds deviennent accessibles à quiconque possède ces informations. Les portefeuilles créés de façon traditionnelle, avec une phrase de récupération générée localement ou sur un hardware wallet, n’ont pas été touchés. C’est un rappel brutal de la différence entre custody partagée et self-custody réelle.
Ce n’est pas la première fois que l’écosystème crypto paie le prix de la facilité. Des incidents similaires, même s’ils diffèrent dans leur mécanisme, ont déjà montré que les couches d’abstraction ajoutées pour simplifier l’expérience utilisateur peuvent devenir des points de défaillance uniques. La commodité et la sécurité maximale restent souvent incompatibles.
Les conséquences concrètes pour les utilisateurs touchés
Pour ceux qui ont encore des fonds liquides sur un compte Google ou Apple, la priorité absolue est de les sortir immédiatement vers une adresse sûre. Keplr recommande expressément de ne plus alimenter ces comptes et de créer un nouveau portefeuille avec phrase de récupération ou d’utiliser un hardware wallet.
Les utilisateurs dont le solde a diminué doivent rester prudents. Une partie des mouvements peut provenir des équipes de récupération. Distinguer les adresses whitehat des adresses malveillantes n’est pas encore totalement possible pour le grand public. Web3Auth a annoncé qu’elle fournirait prochainement des informations permettant de faire la différence.
Ceux qui ont des positions stakées doivent s’armer de patience. Les procédures de récupération sont plus longues. Dans certains cas, le temps de déblocage classique devra être respecté ou des mécanismes spécifiques mis en œuvre. Aucun calendrier précis n’a encore été communiqué.
Ce que l’incident révèle sur l’état de la sécurité crypto en 2026
L’écosystème Cosmos n’est pas le seul concerné par les risques liés aux solutions d’authentification sociale. De plus en plus de portefeuilles et de dApps proposent ces options pour réduire la friction d’entrée. Chaque fois qu’un prestataire centralisé détient une partie des secrets, un nouveau vecteur d’attaque apparaît.
Les attaquants n’ont pas besoin de casser la cryptographie des blockchains. Ils ciblent les couches intermédiaires : les services d’onboarding, les fournisseurs de clés intégrées, les mécanismes de récupération sociale. C’est souvent là que se trouve le maillon faible.
Paradoxalement, les opérations whitehat montrent aussi que l’industrie dispose désormais de moyens de réaction plus rapides. Déplacer des fonds avant les attaquants en utilisant le même vecteur technique est une pratique de plus en plus courante. Elle sauve des actifs, mais elle crée aussi de la confusion chez les utilisateurs qui voient leur solde bouger sans explication immédiate.
Les bonnes pratiques à adopter dès maintenant
Si vous utilisez encore une connexion Google ou Apple sur Keplr, la première action est de transférer tout ce qui peut l’être vers un portefeuille autonome. Créez une nouvelle seed phrase, notez-la hors ligne, et préférez un hardware wallet pour les montants significatifs.
Ne répondez jamais aux messages non sollicités proposant une « récupération rapide » ou des liens de restauration. Les arnaques de phishing se multiplient dès qu’un incident de ce type est public. Keplr et Web3Auth communiqueront uniquement via leurs canaux officiels.
Vérifiez régulièrement vos positions stakées. Même si elles sont plus difficiles à déplacer immédiatement, elles restent dans le périmètre des comptes exposés. Gardez une trace de toutes les adresses concernées.
Enfin, prenez le temps de comprendre exactement comment votre portefeuille génère et stocke vos clés. La facilité d’un bouton « Se connecter avec Google » a un coût. Ce coût vient d’être payé par plusieurs milliers d’utilisateurs.
Un impact qui dépasse les seuls portefeuilles Keplr
Même si Web3Auth affirme que MetaMask n’est pas concerné, la question reste ouverte pour d’autres applications qui utilisent la même infrastructure d’authentification. Tant que la liste complète des services touchés n’est pas publiée, une prudence générale s’impose pour tous les portefeuilles intégrés reposant sur des logins sociaux.
L’incident rappelle également que la sécurité d’un écosystème multi-chaînes comme Cosmos dépend autant de la robustesse des protocoles que de celle des outils d’accès. Un maillon faible dans l’onboarding peut exposer des dizaines de milliers d’adresses en quelques heures.
Les montants en jeu, bien que significatifs, restent relativement contenus par rapport à d’autres failles historiques. Cela s’explique en partie par la rapidité de réaction de Keplr et le lancement rapide des opérations whitehat. Sans ces mesures, le total drainé aurait pu être nettement plus élevé.
Ce que l’on attend maintenant de Web3Auth et de Keplr
Plusieurs questions restent sans réponse claire. Quelle a été exactement la nature de la faille d’infrastructure ? Combien de comptes ont réellement été compromis de façon définitive ? Quel volume de fonds a été récupéré par les équipes whitehat et quel volume a été perdu ? Un mécanisme de compensation est-il envisagé ?
Les utilisateurs attendent également un outil simple pour vérifier si leur adresse figure parmi celles exposées. Keplr a indiqué travailler sur ce point avec Web3Auth. Plus la communication sera transparente et rapide, plus la confiance pourra être partiellement restaurée.
À plus long terme, cet événement pourrait freiner l’adoption des solutions d’authentification sociale dans l’écosystème crypto, ou au contraire accélérer le développement de méthodes plus robustes de récupération sociale et de gestion de clés distribuées.
Un rappel salutaire pour toute la communauté
La crypto reste un univers où la responsabilité individuelle est maximale. Chaque couche d’abstraction ajoutée pour simplifier la vie des utilisateurs introduit un nouveau risque. Les portefeuilles non-custodial traditionnels, bien que plus exigeants à gérer, restent à ce jour la solution la plus sûre pour la grande majorité des détenteurs.
Les six millions de dollars en mouvement et les dizaines de milliers de portefeuilles touchés ne sont pas seulement un chiffre. Ils représentent des épargnes, des positions de long terme, parfois des mois ou des années d’accumulation. Derrière chaque adresse se trouve une personne qui fait confiance à un outil.
Keplr a réagi vite en suspendant les logins sociaux. Web3Auth a lancé des opérations de protection. Ces réactions sont positives. Elles ne dispensent cependant pas d’une réflexion plus profonde sur la manière dont les clés privées sont générées, stockées et protégées lorsqu’on choisit la voie de la facilité.
Pour l’instant, le message le plus simple et le plus efficace reste le suivant : si vous avez un compte Keplr créé avec Google ou Apple, sortez vos fonds liquides dès que possible vers une adresse réellement sous votre contrôle exclusif. Le reste des procédures prendra du temps. La prudence, elle, doit être immédiate.
L’histoire n’est pas terminée. Les prochaines heures et les prochains jours apporteront sans doute des précisions sur le volume exact récupéré, sur le nombre définitif de victimes et sur les mesures techniques mises en place pour éviter qu’un tel scénario se reproduise. En attendant, la vigilance reste de mise pour tous les utilisateurs de l’écosystème Cosmos et, plus largement, pour tous ceux qui ont choisi la simplicité des connexions sociales.
La facilité a un prix. Aujourd’hui, une partie de la communauté Cosmos vient de le découvrir de façon très concrète. Espérons que les leçons tirées de cet incident permettront de construire des outils à la fois plus accessibles et plus résistants. Car la promesse de la crypto ne peut se réaliser durablement que si la sécurité reste la priorité absolue, même quand elle entre en conflit avec le confort d’usage.
Les prochains développements seront suivis de près. En attendant une communication plus détaillée de la part des équipes concernées, la seule attitude raisonnable consiste à sécuriser immédiatement ce qui peut encore l’être et à attendre les instructions officielles avant toute autre action. Dans l’univers des actifs numériques, la précipitation et la confiance aveugle restent les deux ennemis les plus dangereux.
