LONDON (IT BOLTWISE) – Ein Fehler in der Web3Auth-Implementierung soll bestimmte Keplr-Wallets betroffen haben, die sich über Google- oder Apple-Logins eingerichtet haben. Laut Berichten wurde versucht, Kontostände zu leeren; ein Teil der Gelder wurde jedoch offenbar in „secure recovery wallets“ umgeleitet. Der Wallet-Anbieter hat deshalb Google- und Apple-Anmeldungen vorübergehend pausiert und Nutzer zu klaren Schutzschritten aufgefordert. Unklar bleibt, wie genau der Angriff technisch umgesetzt wurde und ob die Angriffsroute bereits geschlossen ist.
Der Vorfall zeigt exemplarisch, wie stark Web3-Wallet-Modelle von der Zuverlässigkeit ihrer Identitäts- und Sign-in-Kette abhängen. Wer bei Keplr eine Krypto-Wallet über ein Google- oder Apple-Konto eingerichtet hat, nutzte dabei Web3Auth als Vermittler für den Sign-in-Prozess. Genau in dieser Web3Auth-Schicht soll eine Sicherheitslücke ausgenutzt worden sein, um Zugriff auf betroffene Wallets zu erhalten. Auffällig ist zudem die Reaktion: Web3Auth pausierte nicht nur den weiteren Prozess, sondern leitete laut eigener Darstellung ein Gegenrouting ein, das weitere Verluste verhindern sollte, bevor der Angreifer in allen Fällen „durchkam“.
Technisch wird das Problem in dem Zwischenbericht als potenzieller „private key breach“ für bestimmte Nutzer beschrieben, die mit Google oder Apple eingeloggt waren. Ein Private Key ist in Wallet-Systemen der geheime Prüfcode, der Transaktionen autorisiert; wer ihn besitzt oder missbräuchlich nutzen kann, kann Gelder bewegen. Allerdings bleibt der Kern des Missstands im Detail offen: Weder Web3Auth noch Keplr haben laut Quelle erklärt, wie die Lücke konkret funktionierte, wann der Angreifer sie erstmals nutzte oder ob der Pfad seitdem vollständig geschlossen ist. Diese Unschärfe ist für Security-Teams relevant, weil sie den Unterschied zwischen einem vollständig mitigierten Exploit und einem nur teilweise eingedämmten Risiko markiert.
Die Berichte liefern mehrere Anhaltspunkte zur Größenordnung, aber keine einheitliche Zahl. Josh Lee, Mitgründer von Keplr, nannte in ersten Erkenntnissen, dass etwa 20% der Google- und Apple-Login-Konten potenziell betroffen gewesen seien; nur ein Teil davon sei offenbar wirklich ausgenutzt worden. Gleichzeitig meldete GoPlus in einer Sicherheitswarnung, mindestens rund 1 Mio. USD seien gestohlen worden, ohne diese Schätzung weiter herzuleiten. Für eine zweite, datengetriebene Perspektive sorgte Bitquery: Das Unternehmen zählte bis zum späten Zeitpunkt der letzten Berichtsrunde mindestens 6,01 Mio. USD, die von über 44.000 Wallets in „recovery wallets“ verschoben wurden. Bitquery korrigierte später seine Einordnung und behandelte die Bewegungen als Rettungsmaßnahmen; gleichzeitig betonte der Dienst, er könne nicht verifizieren, wer die Recovery-Wallets kontrolliert.
Ein Detail macht das „Rettung statt Diebstahl“-Narrativ plausibel: Laut Bitquery begannen die ersten Übertragungen 21 Minuten vor der ersten öffentlichen Notiz des Login-Providers. Wenn ein Gegenmechanismus früh genug greift, erscheint eine „leere Wallet“ für Nutzer auf den ersten Blick wie ein Schaden, ist aber tatsächlich ein Sicherheitsumzug. Dass die Mehrheit der Fälle erst nach einer Warnung „empty“ wurde, passt dazu: In der Auswertung heißt es, 86% der betroffenen Wallets seien erst nach der Warnung des Wallet-Anbieters geleert worden. Der Login-Provider erklärte in seinem Recovery-Thread, die verschobenen Gelder seien sicher und man arbeite mit dem Wallet-Anbieter daran, sie an Nutzer zurückzugeben; wie und wann bleibt jedoch auch hier ohne konkrete Terminierung.
Für den Alltag der Nutzer gab es deshalb konkrete Handlungsanweisungen. Der Wallet-Anbieter riet Personen, die über Google oder Apple eingeloggt wurden, keine neuen Gelder auf das betroffene Konto zu senden, keine Import- oder Recreate-Prozesse erneut anzustoßen und alle nicht „staked“ oder „locked“ befindlichen Mittel in ein Konto zu verschieben, das auf einer Recovery-Phrase (12 oder 24 Wörter) basiert oder auf einer Hardware-Wallet. Außerdem sollen Nutzer nur Updates aus den offiziellen Kanälen des Wallet-Anbieters und des Login-Providers vertrauen und direkte Nachrichten oder Links, die angeblich „Recovery“ versprechen, ignorieren. Gesperrte bzw. gestakte Assets benötigten laut Angabe länger für die Absicherung. Zusätzlich stellte der Login-Provider eine Recovery-Adressliste bereit, mit der Nutzer eigene Transfers von potenziell bösartigen Zielen unterscheiden können.
Über den Keplr-Fall hinaus ist vor allem die Frage nach dem Umfang der Auswirkung auf andere Dienste relevant. Der Login-Provider erklärte, der Vorfall betreffe auch weitere Services, nannte aber als konkret benannten Anwendungsfall nur Keplr. Gleichzeitig stoppte er seine eingebettete Wallet-Funktion, die andere Apps zur Wallet-Erstellung nutzen, während der Status-Page-Eintrag den Login-Service als „down“ ausweist. Für die Marktordnung ist außerdem die Eigentümerstruktur wichtig: Consensys, das Unternehmen hinter MetaMask, hatte den Login-Provider im Juni 2025 gekauft. In der Akündigungslogik des Deals sollte MetaMask Nutzern das Erstellen und Wiederherstellen von Wallets über Social-Logins ermöglichen; der Login-Provider sagt nun, seine erste Untersuchung habe „no evidence“ dafür gefunden, dass MetaMask-Nutzer betroffen sind. Für Unternehmen heißt das: Selbst wenn die Sign-in-Komponente als „shared dependency“ gilt, ist die Impact-Validierung pro Consumer-App entscheidend.
Aus Unternehmenssicht verschiebt der Vorfall den Fokus auf drei Punkte: Erstens müssen Risk-Modelle in Wallet-Ökosystemen nicht nur Keys und On-Chain-Logik, sondern auch Identitäts-Integrationen abdecken. Zweitens zeigt die Datenlage, wie wichtig frühe Observability ist: Bitquerys Timing-Details und die spätere Neubewertung machen klar, dass „Outflows“ in Blockchains je nach Rettungsprozess wie Schaden aussehen können. Drittens wird das Nutzerkommunikations-Design zur technischen Maßnahme, weil Timing und Interpretierbarkeit bestimmen, ob Menschen Schaden oder erfolgreiche Migration wahrnehmen. Ob und wann der Angriffsweg dauerhaft geschlossen ist, bleibt die zentrale offene Frage; bis dahin sind Recovery-Phrasen, Hardware-Storage und eine strikte Trennung von offiziellen Updates weiterhin die praktischsten Kontrollmechanismen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Web3Auth-Fehler trifft Keplr: Social-Login-Wallets werden offenbar umgeleitet" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Web3Auth-Fehler trifft Keplr: Social-Login-Wallets werden offenbar umgeleitet" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Web3Auth-Fehler trifft Keplr: Social-Login-Wallets werden offenbar umgeleitet« bei Google Deutschland suchen, bei Bing oder Google News!