Keplr Wallet-Lek: Web3Auth-Bug Raakt Mogelijk 20% Van Social Login-Accounts

Samenvatting: een kwetsbaarheid in de infrastructuur van Web3Auth heeft de private keys blootgelegd van een deel van de Keplr-gebruikers die hun wallet aanmaakten door in te loggen met Google of Apple (“social login”). Keplr-medeoprichter Josh Lee schat dat ongeveer 20% van die accounts mogelijk is geraakt, al is dat een voorlopig cijfer. Gebruikers die hun wallet beheren met een seed phrase of hardware wallet zijn niet getroffen. Keplr en Web3Auth hebben de social-loginfunctie gepauzeerd en voeren tegelijk “white hat”-reddingsacties uit, waardoor sommige saldi tijdelijk leeg of verlaagd kunnen lijken zonder dat er sprake is van diefstal. MetaMask, dat voor andere diensten ook Web3Auth gebruikt, meldt geen bewijs van impact op zijn eigen gebruikers.

Disclosure: dit artikel bevat affiliate-links. Als je via zo’n link een account aanmaakt, ontvangen we soms een kleine vergoeding — zonder extra kosten voor jou. Dit artikel is bovendien uitsluitend informatief en geen financieel advies; crypto is volatiel, beleg alleen wat je kunt missen. Lees meer in onze redactionele richtlijnen.

Ik volg wallet-hacks al sinds 2013, en wat deze zaak voor mij typeert is niet de uiteindelijke schade — die is nog onduidelijk — maar hoe lastig een reddingsactie en een diefstal soms van elkaar te onderscheiden zijn zodra alles zich op de blockchain afspeelt. Dat is precies wat er deze week gebeurde bij Keplr, een populaire wallet-app binnen het Cosmos-ecosysteem.

Wat is er precies gebeurd?

Op 6 november meldde Web3Auth — een dienst die wallets helpt om in te loggen via Google of Apple in plaats van met een seed phrase — dat het op de hoogte was van een beveiligingsprobleem bij diensten die het aan derde partijen levert. Het bedrijf pauzeerde direct zijn zogeheten Embedded Wallet-dienst.

“We’re aware of a security issue affecting Web3Auth’s services used by some third parties. We have temporarily paused the embedded wallet service. After an initial investigation, we’ve found no evidence that MetaMask users are impacted.”

— Web3Auth, via X, 6 november 2026

Een paar uur later, rond 04:38 UTC op 7 november, kwam Keplr zelf met een eigen waarschuwing: er waren ongeautoriseerde transacties gesignaleerd op een deel van de accounts die via Google- of Apple-login waren aangemaakt. Keplr pauzeerde die inlogmethode met onmiddellijke ingang.

Later die dag, rond 16:53 UTC, bevestigde Web3Auth dat het specifiek ging om een beveiligingsprobleem in zijn infrastructuur dat bepaalde embedded wallets bij Keplr raakte. Kort daarna meldde het bedrijf dat het samen met partners “white hat”-reddingsacties was gestart om kwetsbare — maar nog niet aangevallen — wallets veilig te stellen, via hetzelfde pad als een aanvaller zou gebruiken.

Waarom lijken sommige saldi verdwenen?

Dit is het verwarrende deel. Keplr meldde dat sommige Google- of Apple-login-accounts een “reduced or empty balance” kunnen laten zien. Dat kan twee dingen betekenen: een aanvaller die er al met de tegoeden vandoor is, of juist het tegenovergestelde — Web3Auth of een partner die de tegoeden preventief heeft verplaatst om ze buiten het bereik van een aanvaller te houden.

“Please do not assume that an unfamiliar destination address is associated with the attacker.”

— Web3Auth

Web3Auth werkt aan een verifieerbare lijst van herstel-adressen, zodat gebruikers straks kunnen controleren of een onbekende transactie een reddingsactie was of een diefstal. Tot die lijst er is, blijft het gissen hoeveel van de “lege” saldi daadwerkelijk gestolen zijn.

Hoeveel accounts zijn geraakt?

Keplr-medeoprichter Josh Lee kwam met een voorlopige inschatting: ongeveer 20% van de accounts die via Google- of Apple-login zijn aangemaakt, zou zijn geraakt. Daarvan is volgens hem maar een deel daadwerkelijk misbruikt — de rest is mogelijk nog te herstellen. Lee benadrukte dat de oorzaak niet bij Keplr’s eigen code ligt, maar bij de onderliggende Web3Auth-infrastructuur.

Belangrijk: wie zijn Keplr-wallet beheert met een seed phrase (herstelzin) of een hardware wallet, is volgens Keplr niet getroffen. Dat onderscheid raakt de kern van wat zelfbeheer (self-custody) betekent — wie zijn eigen sleutels beheert, is niet afhankelijk van de beveiliging van een externe inlogdienst zoals Web3Auth. Nieuw in crypto en nog niet helemaal zeker wat een seed phrase doet of waarom een hardware wallet veiliger is dan inloggen met een Google-account? Dan is onze beginnersgids een goed startpunt om die basis onder de knie te krijgen voordat je meer dan een paar euro naar een wallet overmaakt.

Ook een risico voor MetaMask-gebruikers?

Web3Auth is niet alleen de motor achter Keplr’s social login — ook andere wallet-apps, zoals Dungeon Wallet, gebruiken de dienst en waarschuwden hun gebruikers voor hetzelfde probleem. MetaMask, dat voor bepaalde functies eveneens gebruikmaakt van Web3Auth-diensten, bevestigde via zijn officiële Builder Hub dat het geen bewijs had gevonden dat zijn eigen gebruikers waren geraakt — al noemde het dat resultaat nadrukkelijk voorlopig.

“We have temporarily paused the Embedded Wallet service. After an initial investigation, we’ve found no evidence that MetaMask users are impacted. We’ll share confirmed details and any steps that users of affected services need to take as soon as we have them.”

— MetaMask, Builder Hub, 7 november 2026

Wat moet je doen als je Keplr via Google of Apple gebruikt?

1. Stort voorlopig geen nieuwe fondsen meer naar een Keplr-account dat je via Google- of Apple-login hebt aangemaakt.
2. Verplaats je resterende, liquide tegoeden naar een nieuwe wallet die je zelf beheert met een seed phrase of een hardware wallet, zoals een Ledger Nano S Plus of een Zengo-wallet.
3. Vertrouw uitsluitend de officiële kanalen van Keplr en Web3Auth. Negeer directe berichten of linkjes die beweren je tegoeden te kunnen “herstellen” — dat zijn vrijwel altijd phishingpogingen die inspelen op de verwarring.
4. Houd de aangekondigde, verifieerbare lijst van herstel-adressen in de gaten, zodat je kunt checken of een onbekende transactie op jouw account een reddingsactie of een diefstal was.
5. Gestakete of vergrendelde tegoeden kunnen volgens Keplr langer op zich laten wachten door de complexiteit van het herstelproces — reken niet op een snelle oplossing als jouw tegoeden vastzitten in staking.

Gebruik je al een hardware wallet of beheer je je eigen seed phrase? Dan hoef je niets te doen — dit incident raakt specifiek de social-loginfunctie, niet de kernbeveiliging van Keplr zelf.

Conclusie

Dit Web3Auth-lek is een nuttige herinnering aan iets wat ik al sinds 2013 benadruk: gemak en controle staan in crypto vaak op gespannen voet met elkaar. Inloggen met je Google- of Apple-account is laagdrempelig en voelt vertrouwd, maar het betekent ook dat de veiligheid van je tegoeden afhangt van de beveiliging van een externe partij — in dit geval Web3Auth — in plaats van alleen van jezelf. Zodra die partij een kwetsbaarheid heeft, deel je automatisch in het risico, hoe zorgvuldig je zelf ook met je eigen account omgaat.

De exacte schade van dit incident staat bij het schrijven van dit artikel nog niet vast — Web3Auth moet zijn verifieerbare lijst van herstel-adressen nog publiceren, en de schatting van 20% van Josh Lee is zelf nog voorlopig. Wat al wel duidelijk is: wie zijn wallet beheert met een seed phrase of hardware wallet, merkte van dit hele incident niets. Dat is precies het argument voor zelfbeheer dat ik lezers van deze site al jaren meegeef — het is soms iets minder gemakkelijk, maar je bent nooit afhankelijk van de zwakste schakel bij een derde partij.