Keplr stoppt Login über Google und Apple nach Abbuchungen

Die Cosmos-Wallet Keplr hat die Anmeldung über Google- und Apple-Konten ausgesetzt, nachdem Nutzer unbefugte Transaktionen gemeldet haben. Betroffen sein können nach einer ersten Einschätzung des Anbieters nur Wallets, die mit diesem sogenannten Social Login angelegt wurden. Der Dienstleister dahinter, die Consensys-Tochter Web3Auth, meldet einen Sicherheitsvorfall; wie viele Konten geleert wurden und wie, ist noch nicht bekannt.

Web3Auth schaltet seinen Login-Dienst in den Wartungsmodus

Viele Wallets und Apps lassen Neukunden heute ohne die üblichen zwölf oder 24 Wiederherstellungswörter starten: Wer sich mit seinem Google- oder Apple-Konto anmeldet, bekommt eine Wallet, deren Schlüssel über einen Dienstleister an dieses Login gebunden ist. Web3Auth, seit 2025 Teil des MetaMask-Entwicklers Consensys, verkauft genau das an andere Anbieter, nach eigener Beschreibung als selbstverwahrte Lösung ohne Seed Phrase.

Am Freitag um 18:30 UTC setzte Web3Auth seinen Login-Dienst laut der Statusseite “due to a security incident” in den Wartungsmodus, wegen eines Sicherheitsvorfalls also. Geplant ist die Pause zunächst bis Samstag 18:30 UTC. Am Abend schrieb das Unternehmen auf X, es habe den Dienst für eingebettete Wallets vorübergehend gestoppt; Hinweise, dass Nutzer von MetaMask betroffen sind, gebe es nach einer ersten Prüfung nicht.

Keplr folgte am Samstag um 5:38 Uhr MEZ.

Keplr nimmt Wallets mit Seed Phrase und Hardware aus

“If you created your Keplr wallet with a recovery phrase or a hardware wallet, you are NOT affected”, schreibt das Team im Post auf X. Wer seine Wallet mit Wiederherstellungswörtern oder einem Hardware-Gerät eingerichtet hat, ist demnach nicht betroffen. Wer dagegen über Google oder Apple eingestiegen ist, soll kein neues Geld auf das Konto schicken. Auch neu importieren oder anlegen soll er es nirgends.

Bis zur Klärung bleibt der Social Login abgeschaltet. Keplr warnt zudem vor Direktnachrichten und Links, die eine “Wiederherstellung” anbieten, und verweist für alle Neuigkeiten nur auf den eigenen Account. Unter dem Post meldete ein Nutzer, seine über Google angelegte Wallet sei geleert worden; geprüft ist das nicht.

Wer sich per Google oder Apple anmeldet, hängt mit dem Zugang zu seiner Wallet also auch an einem Dienstleister, dessen Pause ihn gerade aussperrt. Was eine selbst verwahrte Seed Phrase leistet und wo ihre Risiken liegen, haben wir gesondert beschrieben; welche Rolle solche Dienste im Web3 spielen, ebenfalls.

Welche anderen Apps Web3Auth für ihr Login nutzen und ob dort ebenfalls Geld abgeflossen ist, haben weder Web3Auth noch Consensys bisher öffentlich gesagt.