Un portefeuille crypto permettant une connexion en un clic avec un compte Google vient de connaître un incident. Keplr, un portefeuille établi de l'écosystème Cosmos, permettait de se connecter directement avec un compte Google ou Apple, sans avoir à saisir une phrase de rétablissement. Cette fonctionnalité reposait sur le service tiers Web3Auth. Un vulnérabilité a été découverte dans le système de Web3Auth, et Keplr a confirmé que les clés privées d'une partie des utilisateurs s'étant connectés de cette manière ont été compromises. Des transferts non autorisés avaient déjà été observés, ce qui a conduit à la suspension immédiate des connexions via Google et Apple. Le plus préoccupant : certains utilisateurs ont ouvert leur portefeuille pour découvrir que leurs fonds avaient diminué, voire été entièrement vidés. L'équipe officielle affirme que cela pourrait être une mesure de protection : Keplr collabore avec Web3Auth pour déplacer les actifs des comptes affectés vers des endroits sécurisés. Mais les utilisateurs ne peuvent pas encore déterminer si leurs fonds ont été sauvés ou volés ; les outils permettant de vérifier si un compte a été compromis sont encore en cours de développement. Les comptes créés avec une phrase de rétablissement ou un portefeuille matériel ne sont pas concernés. Pour les utilisateurs ayant utilisé la connexion sociale, l'équipe recommande de ne plus transférer de nouveaux fonds vers leur compte d'origine et de déplacer rapidement les fonds restants vers un portefeuille sécurisé avec phrase de rétablissement ou matériel. Au départ, on voulait simplement éviter la saisie manuelle de la phrase de rétablissement — mais maintenant, en cas de perte, on ne sait même pas si les fonds ont été volés ou sauvegardés : il faut attendre que quelqu'un d'autre le dise.