Keplr-Wallet: Cyberangriff über Google- und Apple-Login kostet 6 Millionen Dollar

Ein Cyberangriff auf Nutzer der Krypto-Wallet Keplr mit Google- oder Apple-Login hat am 6. November 2026 zu einem Abfluss von Vermögenswerten im Umfang von über 6 Mio. US-Dollar geführt.

Die betroffenen Gelder wurden über acht Cosmos-basierte Blockchains hinweg abgezogen. Ursache des Vorfalls war nach Unternehmensangaben eine Schwachstelle in der Infrastruktur des Dienstleisters Web3Auth, dessen Technologie für die sogenannten Social-Logins genutzt wird.

Schwachstelle legte Schlüsseldaten offen

Nach Bekanntwerden der nicht autorisierten Transfers reagierten die Anbieter mit technischen Sperren. Web3Auth pausierte seinen Dienst für integrierte Wallets am 6. November um 18:30 UTC, nachdem eine Infrastruktur-Schwachstelle das Material privater Schlüssel von Konten mit Google- und Apple-Logins offengelegt hatte.

Keplr setzte die Anmeldefunktion über Google und Apple am selben Tag ebenfalls aus. Wallets, die mit einer regulären Wiederherstellungsphrase oder Hardware-Sicherheitslösungen eingerichtet wurden, blieben von dem Vorfall unberührt.

Daten des Analysehauses Bitquery zeigten erste Test-Transaktionen am 6. November um 20:52 UTC. In der Folge leerten Unbekannte Wallets auf sieben Cosmos-Chains sowie im Netzwerk Injective.

Der aktuelle Vorfall zeigt, wie anfällig digitale Konten durch Sicherheitslücken bei Logins sein können. Ein kostenloser Report erklärt nun die Technologie der Passkeys, die als sichere Alternative zu herkömmlichen Passwörtern und klassischen Logins gilt. Passkey-Ratgeber jetzt kostenlos herunterladen

Bitquery registrierte mindestens 44.041 geleerte Wallets auf den sieben Cosmos-Chains sowie 7.603 Konten auf Injective. Nach Bereinigung von Duplikaten belief sich die Zahl auf rund 44.700 unterschiedliche Wallets. Auf zwei Sammeladressen verblieben demnach 6,01 Mio. US-Dollar unbewegt.

Den größten Anteil an den registrierten Bewegungen machte der Cosmos Hub mit rund 3,50 Mio. US-Dollar beziehungsweise 58 Prozent aus, während auf eine Sammeladresse im Injective-Netzwerk rund 615.000 US-Dollar entfielen. Nach Angaben von Bitquery lag der typische Verlust pro Adresse bei 1,34 US-Dollar, wobei 88 Prozent der betroffenen Konten Einbußen von unter 100 US-Dollar aufwiesen.

Der höchste registrierte Einzelverlust betrug etwa 325.000 US-Dollar. Zudem wurden 1,96 Mio. gestakte ATOM ohne die reguläre 21-tägige Entsperrfrist über Staking-Share-Token entnommen, rund 251.000 US-Dollar an Staking-Belohnungen umgeleitet sowie 81.006 USDC auf Noble transferiert, die vom Emittenten Circle technisch eingefroren werden können.

Whitehat-Rettungsaktion und Abgrenzung der Schadenshöhe

Allein in Deutschland werden pro Quartal Millionen von Online-Konten Ziel von Angriffen, was die Bedeutung präventiver Schutzmaßnahmen unterstreicht. Erfahren Sie in diesem kostenlosen PDF-Report, wie Sie Ihre wichtigsten Zugänge bei großen Plattformen effektiv gegen Datenklau absichern. Gratis-Report für maximale Konten-Sicherheit anfordern

Während die automatisierten Entleerungen auf sieben Chains am 7. November um 10:34 UTC innerhalb von 19 Sekunden endeten, dauerten Abflüsse auf dem Cosmos Hub noch bis mindestens 15:38 UTC desselben Tages an.

Keplr hatte am 7. November um 04:38 UTC eine offizielle Warnung an Nutzer herausgegeben; 86 Prozent der betroffenen Wallets auf den sieben Chains wurden erst nach diesem Hinweis geleert.

Josh Lee, Mitgründer des Keplr-Entwicklers Chainapsis, schätzte am 7. November, dass rund 20 Prozent der Social-Login-Konten potenziell gefährdet gewesen seien, davon jedoch nur ein Bruchteil tatsächlich ausgenutzt worden sei. Er stellte klar, dass die Schwachstelle nicht im Programmcode der Keplr-Anwendung gelegen habe.

Zur tatsächlichen Schadenshöhe besteht derzeit noch Unklarheit, da Web3Auth am 7. November eine Rettungsaktion zur Sicherung gefährdeter Gelder einleitete. Das Unternehmen wies darauf hin, dass die eigenen Sicherungstransfers für leere oder verringerte Kontostände bei manchen Nutzern verantwortlich sein können.

Da diese Maßnahmen in On-Chain-Beobachtungen teilweise als Aktivitäten von Angreifern fehlgedeutet wurden, veröffentlichte Web3Auth mit Unterstützung von Keplr eine Liste verifizierter Rettungsadressen.

Diese Adressen decken Netzwerke wie Cosmos Hub, Osmosis, Celestia, Akash, Noble, Injective, dYdX, Babylon, Axelar, Saga und Agoric sowie EVM-Adressen über acht Blockchains ab. Unter anderem enthält die Liste das Ziel einer Cosmos-Hub-Transaktion aus sechs Konten, die 2.265,59 gestakte ATOM tokenisiert hatte. Wie hoch die Summe der gesicherten Gelder insgesamt ausfällt, teilte Web3Auth nicht mit.

Empfehlungen für betroffene Nutzer

Keplr bestätigte die Offenlegung privater Schlüssel über den Dienstleister und riet Nutzern mit Social-Login, keine neuen Einzahlungen vorzunehmen. Verbleibende liquide Bestände sollten unverzüglich auf Wallets mit Wiederherstellungsphrase oder Hardware-Sicherheit übertragen werden.

Bei gestakten oder gesperrten Beständen nehme der Transferprozess mehr Zeit in Anspruch. Nutzer sollten ihre Wallets zudem nicht in Drittanbieter-Anwendungen importieren, ausschließlich offizielle Kommunikationskanäle nutzen und dubiose Hilfsangebote zur Vermögenswiederherstellung ignorieren.

Für Anwender der MetaMask-Wallet lagen nach Angaben der Beteiligten keine Hinweise auf eine Gefährdung vor. Weder Keplr noch Web3Auth nannten bislang die genaue Anzahl aller betroffenen Konten, eine finale Verlustsumme, Pläne für etwaige Erstattungen oder einen konkreten Zeitplan zur Wiederaufnahme des Social-Logins.