Einige Keplr-Nutzer, die sich über Google oder Apple anmelden, berichten von nicht autorisierten Transaktionen. Der Wallet-Anbieter Web3Auth setzte daraufhin die zugehörigen Dienste aus und untersucht einen Sicherheitsvorfall. Offen ist nicht nur, wer auf die Konten zugreifen konnte, sondern auch, ob private Schlüssel offengelegt wurden und wie betroffene Vermögenswerte gesichert werden. Wird derselbe Schlüssel in eine andere Wallet importiert, ändert das den Zugangsweg – nicht den Schlüssel selbst.
Web3Auth pausiert Dienste – Wiederaufnahme noch offen
Am 7. November teilte Keplr mit, dass es bei einigen Konten mit Google- oder Apple-Anmeldung zu nicht autorisierten Transaktionen gekommen sei. Der Anbieter setzte beide Anmeldeoptionen aus. Web3Auth erklärte am selben Tag, in seiner Infrastruktur ein Sicherheitsproblem festgestellt zu haben, das einige von Keplr genutzte eingebettete Wallets betraf.
Ein Statushinweis von Web3Auth datierte die Wartungsarbeiten auf den 6. November, 18:30 Uhr UTC, und stellte einen Zusammenhang mit dem Sicherheitsvorfall her. Am 8. November um 13:08 Uhr UTC hieß es auf der Statusseite, eine Aktualisierung werde veröffentlicht, sobald der Dienst wiederhergestellt sei. Das angegebene Wartungsfenster endete zwar am 7. November, eine Wiederaufnahme des Dienstes bestätigte der Hinweis jedoch nicht.
MetaMask Builder erklärte am 7. November, die erste Untersuchung habe keine Auswirkungen auf MetaMask-Nutzer ergeben. Diese Aussage bezieht sich auf MetaMask. Sie gibt weder Aufschluss darüber, wie viele Keplr-Konten betroffen sind, noch über den Status der dort verwahrten Vermögenswerte.
Ein importierter Schlüssel bleibt derselbe Schlüssel
In seinen im September 2025 aktualisierten Sicherheitshinweisen erklärt Keplr, dass Konten mit Google-Anmeldung einen von Web3Auth erzeugten privaten Schlüssel im Hexadezimalformat statt einer Wiederherstellungsphrase verwenden. Der Schlüssel werde verschlüsselt auf dem Gerät des Nutzers gespeichert. Die Keplr-Dokumentation beschreibt zudem eine Möglichkeit, den Schlüssel anzuzeigen; bei einigen älteren Konten könne diese Option fehlen. Eine separate Anleitung für die mobile App behandelt die Google-Anmeldung sowie den Import von Konten per Wiederherstellungsphrase oder privatem Schlüssel und empfiehlt, Schlüssel sicher aufzubewahren.
Diese allgemeinen Hinweise zeigen, dass ein privater Schlüssel unabhängig von der Google-Anmeldung als Zugang zum Konto dienen kann. Eine Anzeige- oder Exportfunktion belegt jedoch nicht, dass alle Betroffenen während der ausgesetzten Dienste auf ihren Schlüssel zugreifen konnten. Auch bestätigen die Dokumente nicht, dass ein alternativer Anmeldeweg während des Vorfalls funktionierte.
In einer Aktualisierung vom 7. November teilte Keplr mit, dass private Schlüssel einiger Nutzer mit Social-Login kompromittiert worden seien. Gemeinsam mit Web3Auth arbeite man daran, Vermögenswerte zu sichern. Konten, die mit einer Wiederherstellungsphrase oder einer Hardware-Wallet erstellt wurden, seien nicht betroffen. Bei Konten mit Google- oder Apple-Verknüpfung könne es dagegen zu Auswirkungen gekommen sein. Keplr riet potenziell betroffenen Nutzern, kein weiteres Guthaben auf diese Konten zu übertragen und noch übertragbare Vermögenswerte auf ein Konto mit Wiederherstellungsphrase oder Hardware-Wallet zu verschieben.
Wer denselben privaten Schlüssel in eine andere Wallet importiert, wechselt lediglich die verwendete Software. Das Geheimnis, mit dem Transaktionen autorisiert werden, bleibt unverändert. Wurde der Schlüssel offengelegt, ist durch den Wechsel der Oberfläche nicht gewährleistet, dass Dritte ihn nicht mehr nutzen können. Allgemeine Importanleitungen ersetzen deshalb weder Keplrs konkrete Hinweise zum Vorfall noch eine Lösung, deren Funktion für jedes betroffene Konto bestätigt wurde.
Kontostände im Zusammenhang mit Sicherungsmaßnahmen prüfen
Web3Auth erklärte, gemeinsam mit Partnern eine White-Hat-Rettungsaktion gestartet zu haben. Sie richte sich an gefährdete Keplr-Wallets, die bis dahin noch nicht betroffen waren, und nutze den ursprünglichen Zugriffsweg des Angreifers. Keplr zufolge könnten Kontostände infolge von Gegenmaßnahmen gesunken oder auf null gefallen sein. Gestakte und gesperrte Vermögenswerte erschwerten die Reaktion zusätzlich.
Eine unbekannte Überweisung oder ein niedrigerer Kontostand allein zeigt nicht, ob die Veränderung auf einen Angriff, eine Sicherungsmaßnahme oder eine andere Reaktion zurückgeht. Die Auswirkungen auf einzelne Konten, der Fortschritt bei der Wiederherstellung von Vermögenswerten und der Zugang zu privaten Schlüsseln müssen getrennt bewertet werden. Selbst eine Wiederaufnahme der Anmeldedienste würde zunächst nur deren Verfügbarkeit bestätigen – nicht automatisch die Sicherheit der Schlüssel oder die Rückgewinnung der Vermögenswerte.