Eine Schwachstelle in der Web3Auth-Infrastruktur hat private Schlüssel einiger Keplr-Wallets offengelegt, die über Google- oder Apple-Login erstellt wurden. Zwischen dem 6. und 8. November 2026 wurden rund 5,6 Millionen Dollar in sogenannte Recovery-Adressen transferiert. Wie viel ein möglicher Angreifer tatsächlich abgezogen hat, ist bislang nicht bekannt.
Ein Problem in der Infrastruktur von Web3Auth hat private Schlüssel bestimmter Keplr-Wallets offengelegt, die über den sozialen Login mit Google oder Apple angelegt worden waren. Während einige Nutzer zwischen dem 6. und 8. November 2026 nicht autorisierte Transaktionen meldeten, erklärte Web3Auth laut The Block, Schutzmaßnahmen eingeleitet und Vermögenswerte in kontrollierte Recovery-Adressen verschoben zu haben. Das Unternehmen gab an, gemeinsam mit Keplr an der Rückgabe der Gelder an die betroffenen Nutzer zu arbeiten.
Der Vorfall betrifft den integrierten Zugangsdienst, nicht eine Schwachstelle im Keplr-Wallet-Code selbst oder in den verwendeten Blockchains. Dem Mitgründer von Keplr zufolge, zitiert von The Block, könnten rund 20 Prozent der mit Google oder Apple erstellten Keplr-Konten betroffen sein. Wallets, die mit einer Seed-Phrase oder einem Hardware-Wallet eingerichtet wurden, sind nach Unternehmensangaben nicht betroffen.
Was wurde transferiert und wo befinden sich die Mittel?
Web3Auth veröffentlichte eine Liste von 12 Adressen, die als Recovery-Destinationen bezeichnet werden. Zum Zeitpunkt der Überprüfung durch The Block am 8. November verwahrten diese Adressen laut Bericht von The Block rund 5,6 Millionen Dollar in Kryptowährungen. Diese Zahl ist eine Momentaufnahme der on-chain beobachteten Salden und stellt keine Schätzung der durch den Angriff verursachten Verluste dar.
Eine separate Analyse von Bitquery hatte zunächst zwei Adressen mit rund 6,01 Millionen Dollar in Verbindung gebracht, die von Zehntausenden von Wallets transferiert wurden. Anschließend stellte Bitquery fest, dass beide Adressen in der von Web3Auth veröffentlichten Liste als Recovery-Destinationen aufgeführt waren. Bitquery weist darauf hin, dass das Unternehmen nicht überprüfen kann, wer die Adressen kontrolliert, und dass die eigene Zählung keine Wallets umfasst, die der Angreifer möglicherweise an andere Ziele geleert hat.
Die beiden Zahlen sind daher nicht direkt vergleichbar: The Block stellte rund 5,6 Millionen Dollar auf den zwölf Recovery-Adressen zum Zeitpunkt der eigenen Prüfung fest; Bitquery rekonstruierte rund 6,01 Millionen in einer anderen Phase und mit einem anderen Transaktionsperimeter. Ein Teil der zunächst als Diebstahl interpretierten Bewegungen war mit den von Web3Auth eingeleiteten Recovery-Operationen verbunden.
Wie viel dem Angreifer vor den Gegenmaßnahmen zu entwenden gelungen ist, bleibt unbekannt. Web3Auth erwähnte in den von der Presse zitierten Mitteilungen einen „ursprünglichen Angreifer“, veröffentlichte jedoch keine Gesamtschadenssumme und identifizierte auch keine dieser Person oder Gruppe zugeschriebenen Adressen öffentlich.
Die Rolle von Web3Auth im Keplr-Login
Keplr ermöglicht die Erstellung von Wallets über eine Seed-Phrase und, bei bestimmten Konten, über den sozialen Login mit Google oder Apple. Im letzteren Fall sind Zugangsverwaltung und Schlüsselgenerierung in die Infrastruktur von Web3Auth eingebunden, einem Anbieter von Embedded-Wallet-Infrastruktur. Der private Schlüssel autorisiert Transaktionen: Wer ihn besitzt, kann Operationen signieren und die damit verbundenen Vermögenswerte verschieben.
Diese Unterscheidung ist wichtig, weil eine Blockchain Transaktionen zwar aufzeichnet, aber nicht von sich aus erklärt, wer sie autorisiert hat oder ob eine Verschiebung von einem Angreifer oder dem Recovery-Team durchgeführt wurde. Bitquery berichtet, dass einige Transfers zu Adressen, die später von Web3Auth aufgelistet wurden, begonnen hatten, bevor das Unternehmen seine erste öffentliche Mitteilung herausgab. Die Chronologie allein erlaubt keine eindeutige Zuordnung jeder Bewegung zu einem Akteur.
Keplr hat den Google- und Apple-Login ausgesetzt und Nutzer mit Social-Login-Konten aufgefordert, keine weiteren Gelder einzuzahlen. Zudem hat Keplr diese Konten von solchen unterschieden, die mit einer Seed-Phrase oder einem Hardware-Wallet erstellt wurden, letztere sind nach Unternehmensangaben nicht betroffen. Die technische Ursache der Schlüsseloffenlegung, die endgültige Anzahl der betroffenen Konten und das vollständige Verfahren zur Rückgabe der Mittel sind in den verfügbaren Berichten noch nicht veröffentlicht worden. Wer den Unterschied zwischen Software-Wallets und dedizierten Hardware-Geräten besser verstehen möchte, findet entsprechende Informationen in unserem vergleichenden Hardware-Wallet-Leitfaden.
Was noch geklärt werden muss
Der Vorfall lässt drei operative Fragen offen. Die erste betrifft die Ursache der Schwachstelle in der Web3Auth-Infrastruktur und die Art und Weise, wie die Schlüssel zugänglich wurden. Die zweite ist die abschließende Bilanz der von Nutzern, möglichen Angreifern und dem Response-Team transferierten Gelder. Die dritte betrifft die Rückerstattung: Web3Auth erklärte, gemeinsam mit Keplr an einem Recovery-Pfad zu arbeiten, ohne dass in den konsultierten Berichten ein vollständiger Zeitplan oder ein definitives individuelles Verfahren beschrieben wurde.
Die als Recovery-Destinationen veröffentlichten Adressen sind on-chain einsehbar, doch ihr Saldo ist nicht gleichbedeutend mit einer abgeschlossenen Rückerstattung. Bis zur Übergabe an die Nutzer verbleiben diese Vermögenswerte in separaten Adressen, und ihre Verfügbarkeit hängt von den Verwahrung- und Transfermodalitäten der beteiligten Akteure ab.
Relevanz für DACH-Nutzer
Die vorliegenden Mitteilungen enthalten keine geografische Aufschlüsselung der betroffenen Konten und lassen keine Aussage darüber zu, wie viele Nutzer im deutschsprachigen Raum betroffen sind. Das Risiko hängt von der Methode ab, mit der das Wallet erstellt wurde: Die Warnung von Keplr betrifft Konten, die mit Google- oder Apple-Login eingerichtet wurden, während Konten mit Seed-Phrase oder Hardware-Wallet als nicht betroffen bezeichnet wurden.
Die Unterscheidung zwischen Schlüsseloffenlegung und persönlichen Datenlecks ist auch im jüngsten Keystone-Vorfall deutlich geworden. Für DACH-Nutzer gilt dasselbe wie überall: Ausschließlich offizielle Kanäle von Keplr und Web3Auth beachten und spezifische Anweisungen für das eigene Konto befolgen. In dieser Phase ist besondere Vorsicht bei unaufgeforderten Nachrichten geboten, die eine Rückholung der Gelder versprechen oder nach privaten Schlüsseln, Seed-Phrasen oder Vorauszahlungen fragen. Keine der bislang verfügbaren unabhängigen Informationen bestätigt, dass eine externe Partei die Rückgabe beschleunigen kann. Phishing-Versuche nach solchen Vorfällen sind aus vergleichbaren Fällen gut dokumentiert, etwa nach dem SafePal-Datenleck und dem Trezor-Datenbreach.
Web3Auth und Keplr im Überblick
Was bestätigt ist und was noch überprüft werden muss:
- Bestätigt: Eine Schwachstelle in Web3Auth hat private Schlüssel einiger Keplr-Wallets offengelegt, die mit Google- oder Apple-Login erstellt wurden. Transfers zu Recovery-Adressen wurden eingeleitet.
- Nicht angegeben: Die vollständige technische Ursache, die endgültige Anzahl betroffener Konten und der dem Angreifer zuzurechnende Schaden.
- Zu verfolgen: Der Rückgabeplan für Nutzer und die Abrechnung der Recovery-Transfers.
Einordnung und größeres Bild
Der Vorfall zeigt einen strukturellen Schwachpunkt von Wallets mit sozialem Login: Die vereinfachte Nutzererfahrung kann von einer externen Infrastruktur abhängen, die an der Schlüsselverwaltung beteiligt ist. Das ist ein anderes Risiko als kommerzielle Datenlecks, wie sie in der Rubrik zu Krypto-Angriffen beschrieben sind, doch beide Kategorien zeigen, wie sehr die Dienste rund um die digitale Verwahrung ins Gewicht fallen. Der Komfort des Logins beseitigt nicht die Notwendigkeit, den Prozess zu schützen, der die Signierung von Transaktionen ermöglicht. In diesem Fall ist es allerdings noch nicht möglich, jeden technischen Schritt öffentlich nachzuvollziehen oder alle Transfers mit Sicherheit zuzuordnen.
Die Notfallreaktion hat die Lesbarkeit der on-chain-Daten zusätzlich erschwert: Web3Auth erklärte, denselben technischen Weg wie der Angreifer genutzt zu haben, um noch in den verwundbaren Wallets vorhandene Vermögenswerte zu sichern. Eine anomale Transaktion allein beweist daher keinen Diebstahl. Notwendig sind verifizierte Adressen, eine vollständige Chronologie und eine Abrechnung der tatsächlich zurückgegebenen Mittel.
