Gebruikers die een Keplr-crypto wallet hebben opgezet met hun Google– of Apple-account, kregen te maken met een incident dat terug te voeren is op de Web3Auth-kwetsbaarheid. Meerdere partijen meldden dat een beveiligingsprobleem in de infrastructuur van Web3Auth toegang tot (bepaalde) wallets mogelijk maakte, waarna er geld werd verplaatst. Tegelijk werd ook aangegeven dat een deel van de uitkomsten lijkt op “redding” via herstelwalletten.
In dit artikel zetten we op een rij wat er volgens de beschikbare informatie misging, welke accounts mogelijk zijn geraakt en welke acties je als gebruiker het best nu kunt nemen.
Wat is er gebeurd met Keplr en Web3Auth?
Keplr gebruikt Web3Auth om het inloggen via Google en Apple mogelijk te maken. Volgens de meldingen konden aanvallers via een fout in Web3Auth wallets bereiken die via die sociale login waren ingericht. De walletmaker gaf daarbij aan dat sommige gebruikers een zogeheten private key breach zagen: de geheime sleutel die transacties kan autoriseren.
Een private key is in de praktijk het “toegangspunt” tot je tegoed. Als die in handen komt van een aanvaller, kan die in theorie betalingen uitvoeren. Tegelijk is niet volledig publiek gemaakt hoe het precies werkte of of de aanvalroute inmiddels definitief is afgesloten.
Welke wallets lijken getroffen?
De informatie die is gedeeld wijst erop dat het vooral gaat om wallets die zijn aangemaakt met Google- of Apple-inlog binnen Keplr (dus niet om alle Keplr-wallets van iedere gebruiker). In de communicatie werd ook benadrukt dat bepaalde varianten niet betroffen zouden zijn.
- Niet getroffen (volgens de walletmaker): wallets die met een recovery phrase zijn ingesteld en hardware wallets.
- Wel kwetsbaar (volgens de meldingen): accounts waarbij de aanmelding via Google of Apple verloopt via Web3Auth en waarbij daardoor de private key van sommige gebruikers aan de orde kwam.
Belangrijk: de hoeveelheid getroffen accounts en het deel dat daadwerkelijk is misbruikt, wordt verschillend ingeschat door partijen die data analyseerden. Daardoor kan jouw risiconiveau per account verschillen.
Geld gestolen of juist gered?
Opvallend in dit incident is dat “lege balances” niet per se betekenen dat je geld definitief is kwijtgeraakt. Web3Auth stelde dat de aanvaller eerst andere mogelijk risicovolle wallets leegmaakte, maar dat het geld vervolgens met hulp van de walletmaker naar recovery wallets is verplaatst voor veilig herstel.
GoPlus meldde in een beveiligingsalert dat er mogelijk rond $1 miljoen zou zijn gestolen, maar zonder volledige toelichting op de herkomst van dat bedrag. Bitquery rapporteerde eerder dat geld was ontvreemd, maar bracht later een correctie uit: de transfers betroffen volgens hun analyse waarschijnlijk het reddingsproces.
Ook volgens de gedeelde gegevens kwamen de eerste transfers zeer snel op gang, zelfs al voordat de eerste openbare aankondiging van de loginprovider zichtbaar werd. In veel gevallen zouden wallets pas na het waarschuwingsbericht zijn leeggemaakt, wat ondersteunt dat het incident zich dynamisch heeft ontwikkeld.
Welke stappen kun je nu nemen als je Keplr met social login gebruikte?
Als je je Keplr-account hebt aangemaakt met Google of Apple, is het advies om de volgende punten serieus te nemen. De walletmaker benadrukte vooral schade beperken en het herstelproces niet onnodig verstoren.
- Stuur geen nieuwe fondsen naar het betreffende account.
- Niet opnieuw importeren of de account opnieuw aanmaken op een andere manier.
- Verplaats niet-gestakete of niet-vergrendelde tegoeden naar een wallet die wél werkt met een recovery phrase of een hardware wallet.
- Vertrouw alleen updates die afkomstig zijn van de officiële kanalen van de walletmaker en de loginprovider.
- Negeer berichten of links via directe berichten die “herstel” beloven.
Daarnaast werd aangegeven dat assets die gestaked of locked zijn, langer kunnen duren om veilig te stellen. De walletmaker gaf ook aan dat er samen met de loginprovider een manier wordt uitgewerkt om te controleren of een account is geraakt.
Hoe kun je herkennen of een transactie legitiem is?
De loginprovider publiceerde een recovery address list waarmee gebruikers eigen transfers kunnen onderscheiden van mogelijk kwaadwillige acties. Tegelijk waarschuwde men nadrukkelijk om niet automatisch te veronderstellen dat een onbekend eindadres altijd toebehoort aan de aanvaller.
Daarom is het verstandig om bij het bekijken van transacties niet alleen naar “een vreemd adres” te kijken, maar ook te checken of het binnen de hersteladressen valt en of het past bij de tijdlijn van de waarschuwingen.
Is dit ook van invloed op andere apps of wallets?
De loginprovider gaf aan dat het incident raakt aan de diensten die door sommige andere bedrijven worden gebruikt. In de gedeelde berichtgeving werd echter alleen Keplr expliciet genoemd als getroffen partij.
Verder werd vermeld dat de provider de ingebouwde walletservice heeft gepauzeerd die andere apps gebruiken om wallets voor hun gebruikers te bouwen. De statuspagina liet daarbij zien dat de loginservice op dat moment niet beschikbaar was.
Er werd ook context gedeeld rond de overname van de provider door Consensys (achter MetaMask) in 2025. In die communicatie werd toen aangegeven dat social logins zouden helpen bij het aanmaken en herstellen van wallets. De provider stelde na initiële analyse dat er geen aanwijzingen waren dat MetaMask-gebruikers zijn geraakt.
Waarom deze Web3Auth-kwetsbaarheid extra aandacht verdient
Dit incident maakt duidelijk hoe afhankelijk crypto-ecosystemen kunnen zijn van de beveiliging van “tussenlagen”. In dit geval ligt het probleem niet in Keplr zelf, maar in de sign-in infrastructuur die de koppeling met Google en Apple mogelijk maakt.
Ook zie je het verschil tussen het gebruik van social login en herstel op basis van een recovery phrase of een hardware wallet. De meldingen suggereren dat juist die laatste twee methoden beter bestand zijn tegen dit soort keten-risico’s—niet omdat er nooit iets misgaat, maar omdat de controle van je sleutel op een andere manier is ingericht.
Als je wilt vergelijken hoe patch- en dreigingsvertraging in de praktijk kan doorwerken, lees dan ook: dreiging en patchvertraging in 2026: risico’s rond default admin. Dat artikel gaat weliswaar over een ander type kwetsbaarheid, maar het laat dezelfde dynamiek zien: aanvallers profiteren van tijd tussen ontdekking, communicatie en herstel.
Conclusie: handel nu, en baseer herstel op officiële informatie
De Web3Auth-kwetsbaarheid rond Keplr leidde volgens meldingen tot het benaderen van wallets met Google- of Apple-inlog. Er zijn aanwijzingen dat aanvallers geld wilden verplaatsen, maar ook dat een deel van het tegoed in recovery wallets is beland om verdere schade te beperken.
Gebruik daarom de adviezen die zijn gedeeld: verstuur geen nieuwe fondsen, vermijd opnieuw importeren of hercreëren, en verplaats niet-gestakete of niet-vergrendelde tegoeden naar wallets met een recovery phrase of hardware wallet. En volg uitsluitend updates van officiële kanalen—niet van berichten via privékanalen.
Zo vergroot je de kans dat je saldo veilig blijft, ook als je account in de risicogroep valt.
Snelle checklist
- Heb je Keplr gestart met Google of Apple? Neem direct maatregelen.
- Stuur geen nieuwe fondsen naar het account.
- Gebruik alleen officiële updates en check transacties via hersteladressen.
- Verplaats vrij beschikbare tegoeden naar recovery phrase of hardware.
Bron: https://thehackernews.com/2026/11/web3auth-flaw-exploited-to-steal-keplr.html
