Keplr wickelt die Anmeldung per Google und Apple über Web3Auth ab. Nicht betroffen sind laut Keplr Wallets, die mit einer Wiederherstellungsphrase aus 12 oder 24 Wörtern oder mit einer Hardware-Wallet eingerichtet wurden. Der Wallet-Anbieter hat die Anmeldung per Google und Apple für die Dauer der Untersuchung ausgesetzt.
Für Konten, die über Google- oder Apple-Login erstellt wurden, gibt Keplr folgende Empfehlungen:
- keine neuen Guthaben auf das Konto überweisen
- das Konto weder erneut importieren noch an anderer Stelle neu anlegen
- nicht gestakte oder gesperrte Guthaben auf ein Konto mit Wiederherstellungsphrase oder Hardware-Wallet übertragen
- nur Mitteilungen der offiziellen Kanäle von Keplr und Web3Auth vertrauen und Direktnachrichten oder Links ignorieren, die eine „Wiederherstellung“ anbieten
Die Sicherung gestakter und gesperrter Werte dauert länger. Keplr arbeitet mit Web3Auth zudem an einer Möglichkeit, mit der Nutzer prüfen können, ob ihr Konto betroffen ist. Bis dahin hat Web3Auth eine Liste seiner Wiederherstellungsadressen veröffentlicht, anhand derer sich die eigenen Transfers von möglicherweise bösartigen unterscheiden lassen sollen. Zugleich warnt der Dienst davor, eine unbekannte Zieladresse automatisch dem Angreifer zuzuordnen.
In einer Vorfallsmeldung erklärte Web3Auth, ein Sicherheitsproblem in der eigenen Infrastruktur habe bestimmte Wallets betroffen, die das Unternehmen innerhalb der Keplr-App bereitstellt. Keplr sprach deutlicher von einem „Einbruch bei privaten Schlüsseln“ für einige Nutzer mit Google- oder Apple-Login. Mit dem privaten Schlüssel werden Zahlungen aus einer Wallet freigegeben; wer ihn besitzt, kann das Geld bewegen. Wie die Lücke funktionierte, wann der Angreifer sie erstmals nutzte und ob sie inzwischen geschlossen ist, haben beide Unternehmen nicht mitgeteilt.
Eine Schadenssumme nennen weder Keplr noch Web3Auth. Keplr-Mitgründer Josh Lee schätzte in ersten Erkenntnissen, dass rund 20 Prozent der Konten mit Google- und Apple-Login betroffen seien und nur ein Teil davon tatsächlich ausgenutzt worden zu sein scheine. Das Web3-Sicherheitsunternehmen GoPlus bezifferte den Diebstahl in einer Sicherheitswarnung auf mindestens rund 1 Million US-Dollar, ohne die Herleitung zu erläutern.
Die geretteten Guthaben landeten in sogenannten sicheren Wiederherstellungs-Wallets auf 11 Blockchains der Cosmos-Familie und acht Ethereum-ähnlichen Chains. Das Blockchain-Datenunternehmen Bitquery zählte bis Ende vergangener Woche mindestens 6,01 Millionen US-Dollar, die aus mehr als 44.000 Wallets in diese Wiederherstellungs-Wallets flossen. Bitquery hatte die Transfers zunächst als Diebstahl eingestuft, wertet sie in einer korrigierten Analyse inzwischen aber als Rettungsaktion – könne jedoch nicht überprüfen, wer die Wiederherstellungs-Wallets kontrolliert. Den Daten zufolge erfolgte der erste dieser Transfers 21 Minuten vor der ersten öffentlichen Mitteilung von Web3Auth; 86 Prozent der Wallets wurden geleert, nachdem Keplr seine Nutzer gewarnt hatte. Web3Auth versichert, die verschobenen Mittel seien sicher, und arbeite mit Keplr an der Rückgabe an die Nutzer. Wie und wann das geschehen soll, ist offen.
Nach Angaben von Web3Auth betrifft das Problem auch Dienste, die andere Unternehmen nutzen; namentlich genannt wurde bislang nur Keplr. Web3Auth hat seinen Embedded-Wallet-Dienst ausgesetzt, mit dem andere Apps Wallets für ihre Nutzer erstellen. Auf der Statusseite wird der Login-Dienst weiterhin als ausgefallen angezeigt.
Web3Auth gehört seit Juni 2025 zu Consensys, dem Unternehmen hinter der Wallet MetaMask. Laut der damaligen Übernahmeankündigung sollten MetaMask-Nutzer dadurch Wallets per Social Login erstellen und wiederherstellen können. Web3Auth zufolge ergab die erste Untersuchung „keine Hinweise darauf, dass MetaMask-Nutzer betroffen sind“.