Keplr macht Web3Auth-Lücke für Abfluss von 6 Millionen Dollar verantwortlich

Zwischen dem 6. und 7. November 2026 sind mindestens 6,01 Mio. $ aus Keplr-Wallets abgeflossen. Die Verluste gehen auf offengelegte private Schlüssel von Konten zurück, die Nutzer über Google- oder Apple-Logins angelegt hatten.

Die Blockchain-Analysefirma Bitquery verfolgte die Mittel und sieht die Schwachstelle im Social-Login-Weg – nicht in der Standardeinrichtung von Keplr, bei der Nutzer ihre Wiederherstellungsphrase selbst sichern.

Bitquery identifizierte rund 44.700 Wallets, die unbefugte Transaktionen verzeichneten. Auf Ketten des Cosmos-Ökosystems entfallen davon 44.041, auf Injective 7.603.

Den größten Anteil trug das Cosmos Hub mit rund 3,5 Mio. $ Schaden. Ein Teil davon betraf gestakte Vermögenswerte: Rund 1,96 Mio. gestakte ATOM wurden ohne die übliche 21-tägige Unbonding-Frist bewegt.

Auffällig ist der Zeitpunkt. Nach Bitqueries Analyse liefen 86 % der abgeflossenen Mittel auf verbundenen Netzen in Transaktionen, die nach Keplrs erster Warnung vom 7. November 2026 eingingen. Das meiste Geld verließ die Wallets also, als die Nutzer bereits informiert waren.

Keplr, der Entwickler der Wallet, führt den Vorfall auf eine Sicherheitslücke bei Web3Auth zurück. Der Drittanbieter wickelt den Social-Login ab und verwaltet die Schlüssel für diese Konten.

Web3Auth bestätigte, dass eine Schwachstelle in der eigenen Infrastruktur die privaten Schlüssel einiger Nutzer von Drittanbietern offenlegte. Das Unternehmen erklärte, es habe Schutzmaßnahmen ergriffen, und diese Maßnahmen deckten sich mit den Transaktionsmustern des Angreifers.

Keplr-Mitgründer Josh Lee sagte, der Angriff habe schätzungsweise 20 % der über Social Logins angelegten Konten getroffen. Zu diesem Zeitpunkt sei nur ein Bruchteil davon vollständig ausgenutzt worden.

Keplr setzte die Google- und Apple-Logins sofort aus und begann mit der Wiederherstellung der betroffenen Konten. Bis zum 8. November 2026 nannten weder Keplr noch Web3Auth die genaue technische Ursache, eine endgültige Schadenssumme, die Zahl der betroffenen Konten oder den Umfang möglicher Erstattungen.

Warum Social Logins angreifbar sind

Entscheidend ist, wie eine Wallet ihre Schlüssel verwaltet. Kontrolliert wird sie über ihren privaten Schlüssel: Wer ihn hat, kann die Gelder bewegen. Die klassische Sicherung ist eine Wiederherstellungsphrase, meist 12 oder 24 Wörter, die der Nutzer offline aufbewahrt und für die er allein verantwortlich ist.

Social Logins gibt es, weil Wiederherstellungsphrasen für Einsteiger mühsam sind. Dienste wie Web3Auth lassen Menschen sich mit dem Google- oder Apple-Konto anmelden, das sie ohnehin nutzen. Der Preis dafür: Die Schlüsselverwaltung hängt an fremder Infrastruktur, und eine Lücke dort kann genau die Schlüssel offenlegen, die sie verwaltet – nach Darstellung von Web3Auth ist das geschehen.

Konten, die in Keplr mit einer klassischen Wiederherstellungsphrase angelegt wurden, standen nicht im Zentrum der gemeldeten Schlüsseloffenlegung.

86 Prozent erst nach der Warnung

An der 86-Prozent-Marke hängt der eigentliche Befund. Ein großer Teil der Verluste entstand, nachdem die Nutzer gewarnt waren. Das wirft die Frage auf, wie schnell Wallet-Anbieter ihre Nutzer erreichen, solange ein Vorfall noch läuft.

Was offen bleibt

Offen ist die Substanz. Keplr und Web3Auth müssen die genaue technische Ursache erklären, eine endgültige Schadenssumme und die Zahl der betroffenen Konten bestätigen und darlegen, mit welcher Erstattung Nutzer rechnen können.

Bis diese Antworten vorliegen, sind die 6,01 Mio. $, die Bitquery nachverfolgt hat, eine Untergrenze und keine endgültige Bilanz.