Fetch.ai a attribué un incident de sécurité multi-tokens à une clé de signature compromise, une mise à jour qui élargit considérablement la portée de ce qui avait d'abord été présenté comme un vol d'environ 2 millions de dollars en FET. Selon l'analyse on-chain préliminaire du projet, un attaquant unique est désormais lié au retrait d'environ 8,7 millions de FET, à la création non autorisée de près de 409 millions de NTX et à des émissions non autorisées supplémentaires d'AGIX et de WMTX. L'enquête n'a pas encore abouti à une conclusion définitive.

Du vidage d'un contrat unique à une compromission de clé plus large

Les premiers rapports portaient sur environ 8,7 millions de FET, d'une valeur d'environ 1,5 million de dollars, retirés du contrat TokenConversionManagerV3 de Fetch.ai sur Ethereum. La société de sécurité Blockaid a indiqué que l'attaquant avait présenté une signature valide d'autorisateur de conversion, permettant au contrat de libérer le solde de FET restant. Fetch.ai a depuis publié une analyse on-chain préliminaire traçant le chemin de l'attaque jusqu'à une clé de signature compromise.

An on-chain analysis of the exploit is now available on ASI:One. It traces the attack from the compromised signing key to the attacker's cash-out wallets. This is not the final analysis. Read the report: Together with @SingularityNET , we have deactivated… — Fetch.ai (@Fetch_ai) September 20, 2026

Le projet a déclaré avoir travaillé avec SingularityNET pour désactiver les portefeuilles et contrats concernés. Il a également averti que l'analyse est préliminaire et que l'enquête reste ouverte. L'implication de SingularityNET souligne la portée inter-projets de l'incident : le NTX est le token de NuNet, tandis que l'AGIX est le token associé à SingularityNET, de sorte que les répercussions s'étendent à plusieurs communautés de tokens et ne se limitent pas aux détenteurs de FET.

Le même portefeuille, plusieurs tokens

Le portefeuille ayant reçu le FET a ensuite été lié à la création d'environ 409 millions de NTX via un compte déployeur de NuNet. Les tokens étaient évalués à près de 460 000 dollars lors de leur émission.

L'incident s'est encore élargi lorsque PeckShield a signalé que le même portefeuille était également connecté à des émissions non autorisées d'environ 260 millions d'AGIX et de 54 millions de WMTX. Lors de la publication des conclusions de la société de sécurité, les avoirs de lattaquant étaient estimés à près de 17 millions de dollars.

C'est ce portefeuille partagé qui a conduit les chercheurs à attribuer les transactions à un attaquant unique. On ne sait pas encore si une seule clé compromise a donné accès à tous les contrats concernés ou si plusieurs identifiants ont été compromis.

Les incidents identifiés à ce jour :

• FET retirés : environ 8,7 millions de FET. Des tokens existants ont été libérés d'un contrat de conversion.
• NTX créés : environ 409 millions de NTX. Des tokens auraient été émis sans autorisation.
• Nouvelles découvertes : émissions d'AGIX et de WMTX signalées. PeckShield a lié des créations supplémentaires de tokens à l'attaquant.

Les montants en dollars masquent deux types de dommages différents

Les incidents FET et NTX n'ont pas affecté les détenteurs de la même manière.

La transaction FET a retiré des tokens qui existaient déjà. Cela a créé une perte connue et donné à l'attaquant des actifs pouvant être vendus, mais cela n'a pas directement augmenté le nombre total de tokens FET.

La transaction NTX signalée, en revanche, a touché le processus d'émission du token. Au lieu de transférer un solde d'un portefeuille à un autre, le compte déployeur a apparemment créé des tokens en dehors du calendrier de distribution prévu.

CoinGecko indique une offre maximale d'un milliard de NTX. L'émission non autorisée signalée représentait donc environ 41 % de ce montant. Cela ne signifie pas que tous les tokens non autorisés sont entrés en circulation. Les fournisseurs de données peuvent également exclure les tokens que Nu invalide, brûle ou remplace ultérieurement via une migration de contrat. Cette comparaison montre pourquoi les traders ne pouvaient plus se fier au chiffre d'offre affiché sans clarification supplémentaire du projet.

Les découvertes ultérieures concernant l'AGIX et le WMTX rendent cette distinction plus importante. La question centrale n'est plus de savoir combien a été retiré d'un contrat, mais dans quelle mesure les permissions compromises pouvaient être utilisées pour créer ou libérer des actifs.

Pourquoi le NTX a beaucoup plus chuté que le FET

Le NTX a chuté d'environ 70 % après que l'incident a été rendu public et a atteint un nouveau plus bas historique le 20 septembre. Le FET a baissé dans une proportion bien moindre alors que le marché crypto dans son ensemble négociait également en baisse. Le calendrier et l'ampleur de l'émission non autorisée fournissent une explication plausible à cette différence, bien qu'ils ne prouvent pas que l'incident soit à l'origine de l'intégralité du déclin du NTX.

L'émission signalée était importante par rapport à l'offre. La création d'un montant équivalant à environ 41 % de l'offre maximale annoncée a immédiatement suscité des inquiétudes de dilution. Les traders ne disposaient également d'aucune information claire sur le nombre de tokens pouvant atteindre les plateformes d'échange ou les pools de liquidité décentralisés.

Le NTX évolue sur un marché étroit. CoinGecko affichait moins de 50 000 dollars de volume NTX sur 24 heures glissantes lors de la vérification. Les tokens non autorisés étaient évalués à près de 460 000 dollars lors de leur création, ce qui fait de l'émission signalée un montant environ dix fois supérieur au volume quotidien récent du token. Cette comparaison ne mesure pas combien l'attaquant a vendu. Elle illustre la profondeur de marché disponible : tenter de vendre même une fraction d'une telle position pourrait faire fortement bouger le prix lorsqu'il y a relativement peu d'acheteurs à proximité.

Le marché n'a pas pu vérifier immédiatement que l'émission avait cessé. Un solde volé a une limite mesurable. Une permission dmission exposée crée un risque plus ouvert, car les détenteurs ont besoin de preuves que l'autorité a été révoquée avant de pouvoir exclure toute émission supplémentaire.

Pourquoi cette distinction importe

Les détenteurs de FET pouvaient voir combien de tokens avaient quitté le convertisseur. Les détenteurs de NTX devaient également se demander si l'offre publiée décrivait toujours les tokens pouvant exister.

Une signature valide peut toujours autoriser une attaque

Un contrat intelligent peut vérifier qu'une signature provient d'une clé approuvée, mais il ne peut pas déterminer si le propriétaire légitime avait l'intention d'effectuer la transaction. Une fois la clé de signature compromise, l'instruction de l'attaquant pouvait apparaître valide aux yeux du contrat.

C'est pourquoi décrire l'incident uniquement comme une exploitation de contrat intelligent serait incomplet. Le code contrôlant le retrait et la sécurité de la clé autorisant celui-ci formaient un seul système. Une défaillance de l'un ou l'autre pouvait exposer les actifs.

SlowMist a noté que la fonction de conversion entrante de Fetch.ai reposait sur une signature unique de compte à propriété externe et ne disposait pas de certaines des restrictions supplémentaires présentes dans une autre fonction de conversion. Le rapport final de Fetch.ai devra établir comment cette conception a interagi avec la clé compromise. Cet épisode alimente également une réflexion plus large dans l'industrie sur la gestion opérationnelle des clés, où des dispositifs tels que les approbations multi-signatures et le stockage des clés sur matériel protégé sont des outils courants pour limiter ce qu'un seul identifiant peut autoriser.

La transparence de la blockchain aide les chercheurs à suivre les transactions résultantes, mais elle n'empêche pas qu'un identifiant approuvé soit utilisé à mauvais escient. Une limitation similaire est apparue dans la tentative de fraude de 10 millions de dollars signalée par Polymarket : les registres publics peuvent révéler ce qui s'est passé après l'acceptation d'une instruction, tandis que le problème de sécurité le plus difficile consiste à décider qui devait être autorisé à l'émettre.

La désactivation des contrats contient le risque, mais ne le résout pas

La décision de Fetch.ai de désactiver les portefeuilles et contrats concernés constitue une étape importante de confinement. Les détenteurs ont toujours besoin d'un compte rendu définitif des permissions exposées et de la manière dont les tokens concernés seront traités. Pour les lecteurs suivant l'évolution de la situation, les indicateurs à surveiller sont l'analyse on-chain complétée — le rapport publié est explicitement préliminaire — et toute clarification de NuNet sur la question de savoir si les NTX non autorisés seront invalidés, brûlés ou remplacés via une migration de contrat.

Les permissions comptent désormais plus que la première estimation des pertes

L'incident a d'abord été décrit comme une attaque impliquant environ 2 millions de dollars. Les découvertes ultérieures font de ce chiffre une bien mauvaise mesure de sa portée potentielle. La limite la plus importante est l'autorité qu'ont conférée les identifiants compromis.

Fetch.ai et les projetsés devront démontrer que les permissions concernées ont été supprimées et que les tokens non autorisés ne peuvent pas continuer à circuler via les contrats reconnus. D'ici à ce que ces preuves soient disponibles, les prix des tokens refléteront plus que les actifs déjà dérobés. Ils porteront également l'incertitude quant aux chiffres d'offre et aux permissions de contrat auxquels le marché peut encore se fier.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. L'enquête est toujours en cours et les chiffres rapportés peuvent évoluer à mesure que les projets concernés et les chercheurs en sécurité publient des résultats supplémentaires.