Les utilisateurs du système de trading AI NOFX basé sur DeepSeek et Qwen touchés par un vol de cryptomonnaies et des fuites de clés privées
- SlowMist a exhorté à des audits et correctifs de sécurité urgents, avertissant que les déploiements NOFX AI restent à haut risque tant que les problèmes ne sont pas résolus.
- Binance et OKX ont collaboré avec SlowMist pour identifier les utilisateurs concernés et révoquer les clés compromises.
- Les utilisateurs sur les échanges décentralisés comme Aster et Hyperliquid étaient difficiles à joindre, ce qui a conduit à des avertissements publics sur les risques.
SlowMist, une firme de sécurité blockchain, a mené une enquête qui a mis en lumière des vulnérabilités critiques dans NOFX AI, un système de trading de futures de cryptomonnaies open-source construit sur l'architecture de modèle de langage large de DeepSeek et Qwen.
Selon les résultats publiés sur Web3Caff, des failles dans plusieurs versions du système ont exposé certains utilisateurs à des fuites d'identifiants, les attaquants pouvant, dans certains cas, obtenir les clés privées des portefeuilles et les identifiants API des échanges centralisés et décentralisés.
Après avoir fait ces découvertes, l'équipe de SlowMist a contacté les équipes de sécurité de Binance et OKX, qui ont travaillé avec l'équipe pour identifier les utilisateurs affectés et révoquer les clés compromises.
Des failles d'authentification exposées dans plusieurs versions
L'enquête de SlowMist a débuté après que l'équipe a reçu des renseignements d'un chercheur de la communauté opérant sous le pseudonyme @Endlessss20, qui soupçonnait que NOFX AI pouvait fuir les clés API des échanges.
Cos, le fondateur de SlowMist, qui utilise le pseudonyme X @evilcos, a initialement louangé les efforts open-source de NOFX AI, les qualifiant de louables.
Cependant, il a ensuite déclaré que les risques qu'ils ont « divulgués ont déjà conduit à des incidents de vol réels, où les clés privées des portefeuilles de certains utilisateurs et les clés API CEX/DEX ont été divulguées à la suite. »
Cos a ajouté que l'effort initial de divulgation de SlowMist a été délibérément coordonné avec les équipes de sécurité des échanges pour s'assurer que les personnes affectées étaient notifiées avant que les détails ne soient rendus publics.
L'analyse ultérieure de SlowMist a identifié deux problèmes d'authentification fondamentaux affectant différentes générations de commits du référentiel open-source.
Ce problème était apparemment présent dans les anciennes et les nouvelles versions de la plateforme open-source ; le système s'exécutait apparemment dans un état « Autorisation requise » qui manquait néanmoins de contrôles d'accès réels, laissant les fonctions administrateur (admin) sensibles ouvertes sans authentification.
Ainsi, les attaquants pouvaient interagir avec les API administratives sans avoir besoin d'identifiants.
Comprenant ces faiblesses d'authentification, l'un des points de terminaison API du système retournait par défaut des données de connexion sensibles, y compris les clés API et les secrets associés pour des échanges tels que Binance, Hyperliquid et Aster DEX.
Réponse de sécurité coordonnée avec les échanges
Après avoir confirmé la gravité des problèmes, SlowMist a contacté les divisions de sécurité de Binance et OKX.
Ils auraient mis en place une salle d'opérations de sécurité conjointe où SlowMist fournissait des renseignements et une évaluation de l'impact, tandis que les équipes des échanges analysaient et vérifiaient indépendamment les données API compromises.
Les groupes ont ensuite travaillé à rebours à partir des clés exposées pour identifier les comptes à risque sur leurs plateformes.
Les échanges ont initié des contre-mesures, informant chaque utilisateur affecté et révoquant immédiatement leurs clés API, leurs clés secrètes et tout identifiant d'automatisation lié. « Au 17 novembre, tous les utilisateurs CEX affectés ont été notifiés, leurs clés pertinentes ont été révoquées et leurs actifs sont en sécurité », a déclaré SlowMist dans son rapport.
Cependant, il a admis qu'il était relativement plus difficile de joindre les utilisateurs sur les échanges décentralisés. SlowMist a déclaré qu'ils et l'équipe de Binance ont essayé de contacter un petit nombre d'utilisateurs d'Aster et Hyperliquid directement, mais n'ont pas pu « en raison des adresses de portefeuilles décentralisées. »
« Si vous utilisez des systèmes de trading automatisés sur Aster ou Hyperliquid, veuillez vérifier et traiter rapidement tout risque lié », a averti la firme de sécurité les utilisateurs.
Avertissements pour l'écosystème de trading par IA
SlowMist a également souligné qu'il y a une augmentation des projets de quantification de grands modèles d'IA ; cependant, la plupart des implémentations open-source en sont encore à leurs débuts.
Par conséquent, il est conseillé à ceux qui déploient de tels systèmes open-source émergents de « mener des audits de sécurité du code approfondis et de renforcer les mesures de contrôle des risques pour éviter les pertes financières. »
La firme de sécurité a également formulé des recommandations pour l'équipe et les utilisateurs de NOFX AI, leur conseillant de refuser d'exécuter le programme si une clé de modèle est détectée, de désactiver le mode admin sauf s'il est explicitement configuré et protégé par un mot de passe fort et une authentification OTP, et de redéfinir les points de terminaison sensibles pour ne retourner que des métadonnées non critiques tout en exigeant une vérification secondaire pour l'accès aux clés privées ou API, entre autres.
La firme a averti que « jusqu'à ce que l'équipe de développement termine ces correctifs, tout déploiement sur l'internet public doit être considéré comme à haut risque. »
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
