Fetch.ai et NuNet touchés par des attaques liées à une clé privée compromise
- Un attaquant a utilisé une clé de signature compromise pour vider environ 2 millions de dollars de Fetch.ai et NuNet.
- Le NTX de NuNet est tombé à un niveau record bas après que l'attaquant ait émis 408,5 millions de NTX.
- Fetch.ai a désormais suspendu son pont Ethereum et, avec SingularityNET, désactivé les portefeuilles et le contrat concernés.
Un attaquant a pris environ 2 millions de dollars dans l'infrastructure connectée à Fetch.ai et NuNet.
Les deux attaques ont été liées par les sociétés de sécurité au même portefeuille d'attaquant. Une analyse préliminaire de Fetch.ai a révélé que l'attaquant a utilisé des identifiants de signature compromis pour accéder à l'infrastructure.
Bien qu'un vol de 2 millions de dollars puisse être considéré comme insignifiant dans le contexte d'un marché crypto estimé à 2,85 billions de dollars, ce qui est remarquable dans cet événement particulier, c'est que des identifiants privilégiés compromis ont donné à l'hacker accès à une infrastructure critique et ont mis en évidence comment les faiblesses dans la gestion des clés peuvent se répercuter sur des systèmes connectés, même si les contrats de jetons sous-jacents ne sont pas eux-mêmes compromis.
Le même portefeuille a vidangé le FET et a reçu la frappe de NTX
Selon PeckShield, le pirate a détourné un total de 8,7 millions de FET, évalués à l'équivalent de 1,53 million de dollars, et a frauduleusement créé 408,5 millions de NTX d'une valeur d'environ 462 730 $.
Blockaid a observé séparément environ 1,56 million de dollars de FET retirés d'un convertisseur, ainsi qu'environ 452 000 $ de NTX nouvellement frappés. Cela a porté la valeur totale de ce cluster de portefeuilles à environ 2,01 millions de dollars pendant que l'attaque se poursuivait. Un message de suivi a relié la frappe de NTX au même portefeuille de réception.
🚨Blockaid a détecté une exploitation en cours sur @Fetch_ai sur Ethereum.
— Blockaid (@blockaid_) Septembre 19, 2026
Le même portefeuille exploiteur a ensuite reçu une grande frappe de NTX du @nunet_global compte de déploiement.
~2,01 M$ jusqu'à présent (~1,56 M$ de FET vidangés du convertisseur + ~452 k$ de NTX frappés) à travers le cluster. L'attaque se poursuit…
NuNet fait également partie du même écosystème plus large IA-crypto. CoinMarketCap le décrit comme le deuxième spin-off de SingularityNET.
Le point faible était l'autorisation privilégiée
Selon les preuves présentées, on ne peut pas conclure qu'une seule clé était responsable des deux projets. Selon l'analyse préliminaire de Fetch.ai, il est probable que la clé de signature ait été compromise. D'un autre côté, l'analyse qui en a été faite sur la blockchain implique que la clé de frappe de NuNet pourrait également être compromise.
Dans son analyse, SlowMist a rapporté que le TokenConversionManagerV3 dépendait uniquement de la signature ECDSA d'un seul compte détenu externement pour autoriser la fonction conversionIn() lors du vidage du FET.
La fonction en question n'implémentait pas de mécanisme de contrôle checkLimits(amount) contre la transaction, et ne vérifiait pas si des preuves de brûlage ou de verrouillage étaient disponibles sur la chaîne. Le vidage du FET s'est produit dès que la clé de l'autorisateur a été compromise, car une signature légitime était tout ce qui était requis pour le vidage du solde FET du convertisseur.
Fetch.ai a déclaré qu'il travaillait avec SingularityNET pour désactiver les portefeuilles et contrats affectés. Une mise à jour ultérieure a indiqué qu'aucun contrat Fetch.ai n'était alors en danger et que les conversions AGIX vers FET avaient été suspendues par précaution.
Une analyse on-chain de l'exploitation est maintenant disponible sur ASI:One. Elle retrace l'attaque depuis la clé de signature compromise jusqu'aux portefeuilles de retrait de l'attaquant. Il ne s'agit pas de l'analyse finale.
— Fetch.ai (@Fetch_ai) Septembre 20, 2026
Lire le rapport : https://t.co/W95r50VMaY
Avec @SingularityNET, nous avons désactivé…
Pourquoi NTX s'est effondré tandis que FET non
Ces deux jetons ont réagi de manière distincte en raison des effets différents que les attaques ont eus sur l'offre. La faille de FET a retiré des jetons précédemment émis, tandis que la faille de NTX a généré des centaines de millions de jetons non autorisés, compromettant l'intégrité de l'offre et ajoutant une pression de vente supplémentaire.
Selon CoinMarketCap, NTX est actuellement négocié autour de 0,000066 $, en baisse de près de 95 % au cours des dernières 24 heures après avoir atteint son plus bas historique de 0,00004075 $ le 20 septembre. En même temps, la situation de FET n'a pas été compliquée par une telle catastrophe.
La perte directe est modeste, mais la méthode d'attaque s'inscrit dans un schéma beaucoup plus large de l'industrie. TRM Labs a enregistré 207 piratages et 972 millions de dollars de pertes au premier semestre 2026. Les compromissions d'infrastructure et opérationnelles ne représentaient que environ 15 % des incidents mais environ 76 % des fonds volés.
Le rapport de sécurité 2026 de CoinGecko raconte une histoire similaire. Les brèches d'infrastructure et de chaîne d'approvisionnement ont causé plus de 1,8 milliard de dollars de pertes entre janvier 2025 et juillet 2026, tandis que la compromission des clés privées est restée un point de défaillance majeur.
Cryptopolitan a également rapporté un schéma similaire en juin, lorsque Humanity Protocol a déclaré que des clés privées exposées avaient contribué à des pertes allant jusqu'à 31 millions de dollars, et que son jeton H a chuté jusqu'à 90 %.
Fetch.ai dit que l'enquête reste ouverte. Les prochaines questions sont de savoir comment les identifiants ont été compromis, si Fetch.ai a fait pivoter ou remplacé tous les privilèges affectés, et comment NuNet gère les NTX non autorisés toujours liés à l'attaquant.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Comment l'attaquant a-t-il volé des fonds à Fetch.ai et NuNet ?
L'analyse préliminaire de Fetch.ai pointe vers une clé de signature compromise plutôt qu'une faille du smart contract. SlowMist et Blockaid ont constaté que la fonction conversionIn() sur TokenConversionManagerV3 acceptait la signature d'un seul compte comme seule autorisation et manquait d'une vérification de limite de dépense présente ailleurs dans le contrat.
Quel montant a été perdu lors de l'exploitation de Fetch.ai et NuNet ?
PeckShield et Blockaid estiment la perte combinée à environ 2 millions de dollars : environ 8,7 millions de FET d'une valeur d'environ 1,53 million de dollars ont été drainés, plus environ 408,5 millions de NTX (d'une valeur comprise entre 452 000 $ et 463 000 $) ont été émis sans autorisation.
Pourquoi le jeton NTX de NuNet a-t-il chuté si fortement ?
L'attaquant a émis de nouveaux NTX au lieu de simplement drainer les jetons existants, ce qui compromet l'intégrité de l'offre et ajoute une pression de vente. CoinMarketCap indique que le NTX a baissé d'environ 95 % sur 24 heures pour atteindre un plus bas historique de 0,00004075 $ le 20 septembre 2026.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Ibiam Wayas
Ibiam Wayas couvre l'actualité des cryptomonnaies depuis 2019. Il a étudié l'informatique à l'Université ouverte du Nigeria. Ses travaux ont été publiés sur diverses plateformes d'actualités cryptographiques, dont Coinfomania, Crypto News Australia et AltcoinBuzz. Fort de son background en informatique, il se concentre désormais sur les actualités liées aux cryptomonnaies, à la robotique et à la longévité.
