Web3Auth stoppt Embedded-Wallet-Dienst nach kritischem Sicherheitsproblem

Web3Auth hat seinen Dienst für eingebettete Wallets vorübergehend abgeschaltet, nachdem das Unternehmen ein kritisches Sicherheitsproblem entdeckt hatte. Der Anbieter gehört inzwischen zu MetaMask und damit zu Consensys. Belege dafür, dass MetaMask-Nutzer betroffen sind, habe man nicht gefunden, teilte das Unternehmen mit – eine Zusicherung, die allerdings nicht für jedes Projekt gilt, das auf seiner Infrastruktur aufsetzt.

Die Abschaltung begann am 6. November 2026 gegen 21:13 UTC. Web3Auth stoppte den Dienst, um das mögliche Ausmaß des Problems zu untersuchen.

Schaden vor allem bei Keplr

Der Schaden konzentrierte sich auf Drittanbieter, die Web3Auth integriert haben – am sichtbarsten auf Keplr Wallet, eine viel genutzte Wallet im Cosmos-Ökosystem. Keplr hatte Web3Auth genutzt, um soziale Logins anzubieten: Nutzer meldeten sich mit ihrem Google- oder Apple-Konto an, statt eine Seed-Phrase zu verwalten.

Keplr registrierte nicht autorisierte Transaktionen ab dem 6. November, also am selben Tag, an dem Web3Auth sein Problem meldete. Nachdem die Spur zu Web3Auth zurückverfolgt worden war, schaltete Keplr am 7. November sowohl den Google- als auch den Apple-Login ab, um weiteres Risiko zu stoppen.

Nicht alle Keplr-Nutzer waren gleichermaßen betroffen. Rund 20 % der Nutzer, die soziale Logins verwendeten, könnten exponiert gewesen sein, legen Zahlen zum Vorfall nahe.

Rund 6 Mio. $ abgeflossen

Blockchain-Daten zum Vorfall zeigen Abflüsse von etwa 6 Mio. $. Die Mittel verließen mehr als 44.000 Cosmos-Adressen und rund 7.600 Injective-Adressen. Web3Auth bestreitet diese Summe; die 6 Mio. $ sind daher eher eine Schätzung aus den Onchain-Bewegungen als eine bestätigte Bilanz gestohlener Gelder.

Web3Auth hat bereits mit der Rückholung begonnen. Dazu gehören White-Hat-Transfers, die Vermögenswerte aus gefährdeten Wallets in verifizierte Adressen verschieben, bevor ein Angreifer zugreifen kann.

Nicht jede Wallet war betroffen

Trust Wallet und gewöhnliche MetaMask-Konten blieben unberührt, ebenso Keplr-Konten ohne sozialen Login.

Die Abhängigkeit von MPC

Social-Login-Wallets sollen die Seed-Phrase überflüssig machen, eines der ältesten Nutzungsprobleme im Krypto-Segment. Nutzer melden sich an wie in jeder anderen App, während ein Dritter einen Großteil der Schlüsselverwaltung im Hintergrund übernimmt.

Viele dieser Konstruktionen setzen auf Multi-Party Computation (MPC). Dabei wird die Kontrolle über einen privaten Schlüssel auf mehrere Parteien verteilt, sodass keine einzelne Partei allein Gelder bewegen kann. Theoretisch verteilt das das Risiko. Der Fall zeigt, dass es zugleich eine Abhängigkeit schafft: Hat der Anbieter, der einen Teil des Prozesses verantwortet, einen Fehler, erbt jede darauf aufbauende App diesen Fehler.

Konzentrationsrisiko für Entwickler

Für Entwickler rückt damit das Konzentrationsrisiko in den Mittelpunkt. Wenn viele Wallets an denselben Anbieter eingebetteter Wallets andocken, kann ein einziges Problem mehrere Ökosysteme gleichzeitig treffen – so erreichte eine einzige Integration hier sowohl Cosmos- als auch Injective-Nutzer. Keplrs Entscheidung, die sozialen Logins abzuschalten, kam einem Notstopp gleich.

Für MetaMask und Consensys wird die Aussage, dass MetaMask-Nutzer keine Anzeichen einer Kompromittierung zeigen, tatsächlich Gewicht haben.

Offene Fragen

Mehrere Fragen sind noch offen. Eine betrifft die endgültige Abrechnung und ob Web3Auths Einwand gegen die Summe von 6 Mio. $ eine deutlich andere Zahl ergibt. Eine weitere: Wie viel des exponierten Werts die White-Hat-Transfers sichern können. Und schließlich der Zeitpunkt: Wann und unter welchen Bedingungen Web3Auth seinen Dienst für eingebettete Wallets wieder startet und Keplr die sozialen Logins wieder einschaltet.