Un attaquant a exploité une clé de signature divulguée pour retirer environ 8,7 millions de FET d’un contrat de conversion Fetch.ai, avant que le même portefeuille ne soit relié à la création non autorisée d’environ 409 millions de NTX chez le projet affilié NuNet.
L’incident, initialement chiffré à près de 2 millions de dollars, s’est élargi au fil de l’enquête pour englober des émissions supplémentaires d’AGIX et de WMTX, selon l’analyse publiée par Coindoo.
Cette compromission de clé s’inscrit dans une semaine où plusieurs signaux de risque se superposent sur le marché crypto : d’un côté des vulnérabilités internes de type permissions et clés de signature, de l’autre une pression d’offre alimentée par des déblocages de tokens qui, selon BeInCrypto, dépasseraient les 900 millions de dollars sur la seule quatrième semaine de septembre.
Des enquêtes distinctes, rapportées notamment par Cointelegraph, évoquent par ailleurs une campagne de vol de fonds attribuée à des acteurs nord-coréens et chiffrée à environ 10,7 millions de dollars – un dossier qui reste extérieur au périmètre de l’incident Fetch.ai et doit être traité comme tel.
Comment la compromission de Fetch.ai a élargi le risque
Les premiers signalements portaient sur environ 8,7 millions de FET, d’une valeur proche de 1,5 million de dollars, retirés du contrat TokenConversionManagerV3 sur Ethereum. La société de sécurité Blockaid a indiqué que l’attaquant avait présenté une signature valide de l’autorité de conversion, ce qui a permis au contrat de libérer son solde restant de FET sans déclencher d’alerte technique.
L’analyse préliminaire publiée par Fetch.ai attribue le chemin d’attaque à une clé de signature divulguée. Le projet a précisé avoir travaillé avec SingularityNET pour désactiver les portefeuilles et contrats concernés, tout en soulignant que l’enquête reste ouverte.
Le même portefeuille a ensuite été relié à environ 409 millions de NTX créés via un compte deployer de NuNet, puis, selon les recherches de PeckShield, à environ 260 millions d’AGIX et 54 millions de WMTX supplémentaires – une extension qui illustre le type de contagion documenté dans l’attaque de gouvernance ayant visé BonkDAO, où une seule faille de permission avait aussi débordé au-delà du périmètre initial.
Clé compromise, signature valide et risque de supply
Un contrat intelligent peut vérifier qu’une signature provient d’une clé approuvée, mais il ne peut pas déterminer si le détenteur légitime de cette clé a réellement voulu la transaction. Une fois la clé compromise, l’instruction de l’attaquant apparaît donc parfaitement valide aux yeux du contrat – c’est précisément ce mécanisme qui a permis le retrait des FET.
La société d’audit SlowMist a relevé que la fonction de conversion entrante de Fetch.ai reposait sur la signature d’un seul compte détenu extérieurement, avec moins de restrictions que l’autre fonction de conversion du protocole.
Cette conception centralisée fait écho à une problématique récurrente dans le secteur, documentée dans le panorama des hacks et vulnérabilités structurelles de 2025 : la sécurité d’un protocole dépend autant de la robustesse du code que de la gestion opérationnelle des clés qui l’autorisent.
La distinction entre les deux volets de l’incident est déterminante. Les 8,7 millions de FET correspondaient à des tokens déjà en circulation, libérés d’un contrat sans augmenter l’offre totale. Les 409 millions de NTX, en revanche, représentaient près de 41 % de l’offre maximale annoncée d’un milliard de tokens – une création nette, sous réserve des éventuelles invalidations, destructions ou migrations que NuNet pourrait encore appliquer. Le marché ne disposait d’aucun moyen immédiat de vérifier que l’autorisation de minting avait été définitivement révoquée.
Quels risques pour les investisseurs ?
NTX a reculé d’environ 70 % après la révélation de l’incident et a atteint un nouveau plus bas historique le 20 septembre, tandis que FET n’a cédé qu’une part plus limitée de sa valeur, dans un marché crypto par ailleurs orienté à la baisse. CoinGecko affichait moins de 50 000 dollars de volume NTX sur 24 heures au moment de la vérification, alors que les tokens créés de façon non autorisée étaient valorisés près de 460 000 dollars – soit environ dix fois le volume quotidien récent.
Cette faible profondeur de marché explique en partie pourquoi une émission équivalente à 41 % de l’offre maximale a produit un choc de prix aussi marqué : même une fraction de cette position, si elle était vendue, pouvait déplacer le cours de façon disproportionnée. La baisse de NTX reste néanmoins une explication plausible plutôt qu’une causalité démontrée, comme le rappelle la couverture de Coindoo, qui souligne que l’incident ne prouve pas à lui seul chaque mouvement de prix observé.
Les investisseurs exposés à l’écosystème doivent surveiller la révocation effective des permissions compromises et la position que prendront les exchanges et fournisseurs de données face aux tokens créés sans autorisation, un enjeu déjà central dans l’historique des vulnérabilités DeFi de l’année passée.
Des attaques externes à la pression d’offre : un risque hebdomadaire à vérifier
Au-delà du cas Fetch.ai, plusieurs sources indépendantes signalent d’autres foyers de risque cette semaine. Selon des rapports relayés par Cointelegraph, une campagne de malware attribuée à des acteurs nord-coréens – parfois désignée sous le nom de « Contagious Interview » – aurait infecté des milliers d’appareils via de faux entretiens d’embauche visant des développeurs freelance, pour un préjudice estimé à environ 10,7 millions de dollars.
Ce type de vecteur d’attaque, ciblant les développeurs par ingénierie sociale plutôt que par exploitation directe de code, avait déjà été documenté dans l’analyse des méthodes de cyberattaque nord-coréennes visant le secteur crypto.
En parallèle, BeInCrypto recense pour la quatrième semaine de septembre plus de 900 millions de dollars de tokens en voie de déblocage, avec notamment Plasma (XPL), Humanity (H) et SoSoValue (SOSO) parmi les émissions les plus importantes. Ces trois signaux – malware externe, clé compromise en interne, pression d’offre programmée – ne relèvent pas de la même source ni du même degré de certitude, mais ils dessinent une même tendance structurelle : la sécurité d’un actif dépend désormais autant de ses permissions techniques que de son calendrier d’émission.
Ce que l’enquête doit encore établir
Fetch.ai et les projets liés devront préciser quelles clés ont été exposées et si l’ensemble des permissions associées a été révoqué. Sans cette confirmation, le risque de nouvelles émissions ou libérations d’actifs restera ouvert pour les détenteurs de FET, NTX, AGIX et WMTX.
Les projets devront également indiquer quels tokens créés sans autorisation resteront reconnus par les contrats, les exchanges et les fournisseurs de données comme CoinGecko – une décision de gel, de destruction ou de remplacement qui déterminera l’ampleur réelle de la dilution.
À ce jour, l’analyse de Fetch.ai reste qualifiée de préliminaire, et l’enquête n’a pas encore établi si une seule clé compromise explique l’ensemble des mints signalés ou si plusieurs identifiants distincts ont été touchés.
Partager
