🔍 Fetch.ai et NuNet : ce qu’une clé de signature compromise casse réellement

Fetch.ai a publié une analyse préliminaire on-chain de l’exploitation de son contrat de conversion de jetons. L’équipe affirme que l’attaque remonte d’une clé de signature compromise jusqu’aux portefeuilles de retrait (cash-out) de l’attaquant, que les portefeuilles et le contrat concernés ont été désactivés en même temps que SingularityNET, et que l’enquête se poursuit. Les signalements évaluent la perte combinée entre Fetch.ai et NuNet à environ 2 millions de dollars, avec le même attaquant derrière les deux.

Trois choses sur le mécanisme :

1️⃣ Une migration de jetons redonne temporairement à un jeton un émetteur. Les jetons sont libérés ou émis d’un côté parce qu’un signataire hors chaîne atteste qu’un événement s’est produit de l’autre. Pendant la durée de cette migration, l’intégrité de l’offre repose sur la garde des clés, pas sur le consensus.

2️⃣ Une signature n’est pas une preuve. Un contrat peut vérifier qu’un message a été signé. Il ne peut pas vérifier que l’événement décrit par ce message a réellement eu lieu.

3️⃣ Pouvoir désactiver le contrat rapidement et être exposé de cette façon viennent du même endroit : un contrôle privilégié. C’est un compromis qui mérite d’être nommé, pas un bug.

Question ouverte : le fait que les deux projets aient été vidés par le même attaquant soulève la possibilité qu’il s’agisse d’une seule limite de confiance partagée plutôt que de deux défaillances distinctes.

Ce n’est pas un conseil financier. Faites vos propres recherches.

#CryptoNews #Sécurité