Selon CoinMarketCap, les sociétés de sécurité blockchain Blockaid et PeckShield ont indiqué que le 19 septembre, un même attaquant a ciblé deux projets crypto liés à l'IA, Fetch.ai et NuNet. Au total, les deux incidents représentaient près de 2 millions de dollars au moment des faits, entraînant une forte baisse des tokens concernés. Sur Fetch.ai, des FET ont été sortis d'un contrat. D'après les informations publiées par Blockaid, l'attaquant a d'abord transféré environ 8,7 millions de FET, pour une valeur d'environ 1,53 million de dollars, depuis un contrat d'échange (token swap) de Fetch.ai. Les chercheurs soulignent que l'adresse de réception de ces fonds est ensuite réapparue dans l'incident NuNet, élément central reliant les deux attaques au même acteur. Blockaid a également rendu publiques les adresses de portefeuille utilisées ainsi qu'un exemple de transaction, afin d'aider d'autres projets et plateformes à repérer et bloquer d'éventuels mouvements de fonds associés. NuNet a, de son côté, subi une émission anormale de NTX. Lors du second incident, l'attaquant aurait frappé environ 408,5 millions de NTX non autorisés via le compte "deployer" de NuNet, pour une valeur estimée à environ 463&000 dollars sur la base du prix cité dans le rapport. Cette création anormale a été envoyée vers le même portefeuille que les FET dérobés, consolidant l'hypothèse d'un auteur unique. Les analystes rappellent que ce type de scénario renvoie généralement à des failles de contrôle des permissions des contrats ou de gestion de comptes clés. Lorsque les droits de déploiement ou de mise à niveau des contrats sont compromis, un attaquant peut à la fois déplacer les actifs existants et générer directement une nouvelle offre de tokens. Les enquêteurs surveillent également la destination de 546 ETH. Après l'attaque, l'assaillant a rapidement converti une part importante des fonds en 546 ETH, soit environ 1,44 million de dollars. Cette conversion est fréquente après un piratage, car elle complique le suivi et le gel des avoirs. À la suite de ces révélations, le NTX de NuNet a chuté d'environ 65% à 70%, tandis que le FET de Fetch.ai a reculé d'environ 10%. À l'heure de la publication du rapport, ni Fetch.ai ni NuNet n'avaient communiqué officiellement. Chiffres clés : FET transférés : environ 8,7 millions ; NTX frappés sans autorisation : environ 408,5 millions ; montant reçu par l'attaquant : 546 ETH. Le rapport souligne enfin, selon les agences de sécurité, un risque récurrent dans les projets crypto liés à l'IA et à l'informatique : une mauvaise gestion des permissions de contrats. La compromission du compte deployer ou d'un contrat de conversion de tokens peut provoquer des pertes en chaîne sur plusieurs projets.

Selon Huo Xing Cai Jing, le 20 septembre, Strategy a indiqué que son titre MSTR avait progressé d'environ 48% au cours du mois écoulé, signant la plus forte performance parmi les valeurs composant le Nasdaq 100. Sur la même période, Meta a gagné 21,9%, AMD 20%, CrowdStrike 17,9% et Intel 17%, se classant respectivement aux 2e à 5e places.

Le CISO de SlowMist, connu sous le pseudonyme 23pds, a lancé le 19 septembre une alerte jugée urgente : des attaquants auraient rendu opérationnelle une chaîne d'exploitation iOS dite "full chain" permettant d'extraire discrètement des clés privées et des phrases mnémoniques de portefeuilles crypto sur iPhone. Publiée sur X, la mise en garde évoque des appareils sous iOS 13 jusqu'à iOS 26.5, une borne haute encore en attente de confirmation finale, et décrit un risque majeur pour les actifs conservés en auto-garde via des wallets mobiles. Selon 23pds, l'attaque débute lorsqu'une cible ouvre une page web malveillante dans Safari, généralement via ingénierie sociale ou lien de type "watering hole". La page exploiterait une faille de corruption mémoire dans WebKit et JavaScriptCore afin d'obtenir des capacités de lecture/écriture arbitraires au niveau JavaScript. La chaîne contournerait ensuite les Pointer Authentication Codes pour exécuter du code natif, sortirait du bac à sable WebContent, puis monterait jusqu'à des privilèges root au niveau du kernel. À ce stade, l'attaquant pourrait accéder au Keychain de l'appareil et récupérer des données d'applications de wallets, dont les clés privées et les phrases de récupération. À la différence d'un hameçonnage classique qui pousse l'utilisateur à saisir sa phrase de secours, cette méthode ne requiert aucune action autre que la visite d'un lien, d'où le caractère pressant de l'alerte. Le chercheur souligne aussi qu'une fois les clés extraites, un portefeuille compromis ne peut pas être "récupéré" via une réinitialisation de mot de passe : toute personne détenant les clés peut déplacer les fonds. Le risque est particulièrement élevé pour les utilisateurs en auto-conservation, faute de mécanisme de recours côté plateforme d'échange. Cette alerte intervient dans un contexte de multiplication des menaces mobiles et d'applications frauduleuses visant les particuliers, après un cas récent où Apple a été accusée d'avoir laissé sur l'App Store un faux wallet Bitcoin alors qu'un vol de 875'000 dollars avait été signalé. Recommandations : SlowMist appelle à mettre iOS à jour vers la dernière version sans délai, à éviter d'ouvrir des liens non sollicités dans Safari et, pour les personnes ayant utilisé un appareil potentiellement vulnérable comme "hot wallet", à générer de nouvelles clés sur un appareil propre et à jour puis à transférer les fonds. À ce stade, SlowMist n'a pas publié d'avis technique plus détaillé ; le message du chercheur constitue la principale divulgation publique au moment de la rédaction.

La part des investisseurs particuliers américains affichant une vision baissière sur les actions est montée à 53%, un niveau que les investisseurs institutionnels interprètent comme un indicateur contrarien se rapprochant d'une zone propice à un rebond. D'après GoldNews, la remontée des cours du pétrole et la hausse des rendements des bons du Trésor américain ont nettement détérioré le sentiment des particuliers vis-à-vis des actions américaines. La dernière enquête hebdomadaire de l'American Association of Individual Investors (AAII) indique qu'environ 53% des répondants anticipent une mauvaise performance des actions américaines au cours des six prochains mois. Cela représente une hausse d'environ 14 points de pourcentage par rapport à la semaine précédente et le plus haut niveau observé depuis mai 2025. Dans le même temps, la proportion d'investisseurs haussiers est passée sous 29%, en recul d'environ 10 points en une semaine, au plus bas depuis près d'un an.

Selon Gold财经, le 20 septembre, Yu Xian (Cosine), fondateur de SlowMist, a publié sur X un avertissement au sujet d'un cas de "poisoning" et de vol de cryptoactifs impliquant une application appelée ComeCome (Bai Tuo Bai Tuo), présentée comme un service de livraison de repas. L'application semble légitime, mais utiliserait discrètement des techniques de "poisoning" sur iPhone pour dérober des actifs numériques, sur un mode opératoire comparable à celui précédemment mis en lumière avec l'application FomoPeek. Yu Xian recommande aux utilisateurs iOS de mettre immédiatement à jour leur système vers la dernière version. Il indique aussi que les utilisateurs d'iPad et de Mac pourraient être exposés à des risques similaires et doivent rester vigilants.

Selon Huo Xing Cai Jing, Yu Xian, fondateur de SlowMist, a indiqué qu'après l'épisode récent de compromission et de vol lié à l'application FomoPeek, une autre application, ComeCome (comecome.icu), présentée comme un service de livraison de repas, utiliserait des méthodes d'attaque similaires. Les versions v1.1 à v1.2 de FomoPeek intégraient un SDK malveillant combinant huit techniques d'exploitation du noyau iOS, capable de choisir automatiquement le vecteur d'attaque en fonction du modèle de l'appareil et de la version du système. Les versions d'iOS identifiées comme potentiellement touchées vont d'iOS 12 à 18.7 ainsi que 26 à 26.1. Une fois l'exploitation réussie, l'attaque contourne le mécanisme de bac à sable d'iOS afin de dérober des actifs de portefeuilles de cryptomonnaies. Yu Xian estime que la menace pourrait aussi concerner des iPad et des Mac, et recommande de mettre immédiatement iOS à jour vers la version la plus récente, tout en évitant avec la plus grande prudence les applications issues de sources non fiables.

D'après le suivi de PeckShield, le 20 septembre (UTC+8), l'attaquant déjà impliqué dans les attaques visant Fetch.ai et NuNet a exploité une vulnérabilité de SingularityNET pour frapper sans autorisation, sur le réseau Ethereum, 260"millions" d'AGIX et 53,838"millions" de WMTX. Le pirate détiendrait actuellement des crypto-actifs évalués à environ 16,77"millions" de dollars, dont 198,3"millions" d'AGIX pour près de 14,42"millions" de dollars, 649"ETH" pour environ 1,67"million" de dollars et 33,538"millions" de WMTX valorisés autour de 627"400"dollars. (Source'': BlockBeats)

SpaceX a annoncé la création en Louisiane d'un vaste site de lancement de 125 000 acres, avec un objectif d'environ 30 tirs de fusées par jour. Les autorités de l'État estiment que l'opération représente 100'milliards de dollars d'investissements et près de 10'000 emplois. D'après des documents de développement économique, SpaceX verserait environ 25'millions de dollars par an à la collectivité locale en échange d'allègements de taxe foncière totalisant plusieurs milliards de dollars sur 25 ans. Le site se situe à environ 45 minutes de route d'Abbeville, un projet dont l'ampleur et les modalités alimentent les inquiétudes de certains habitants à proximité.

Le 18 septembre, l'Agence nationale de police japonaise (NPA) et le Federal Bureau of Investigation (FBI) ont publié une alerte conjointe sur les activités d'un groupe de pirates nord-coréens baptisé WaterPlum, également connu sous le nom "Contagious Interview". Selon les autorités, le groupe se fait passer depuis longtemps pour des recruteurs ou des entreprises crypto afin d'amener des développeurs à exécuter du code malveillant sous couvert de tests techniques ou de collaboration sur un projet. Entre décembre 2025 et juillet 2026, WaterPlum aurait compromis plus de 30'000 appareils dans plus de 100 pays. Les enquêteurs attribuent au groupe le transfert de fonds ou le vol d'identifiants liés à plus de 7'000 portefeuilles de cryptomonnaies, pour un montant d'au moins 10,71 millions de dollars d'actifs crypto. Les autorités soulignent un changement de cible: au-delà des plateformes d'échange et des grandes institutions, les attaques visent désormais davantage des développeurs individuels, freelances et professionnels du Web3. Au-delà du vol direct de fonds, les postes de travail infectés servent de point d'entrée pour pénétrer l'entreprise des victimes grâce aux accès et identités stockés sur leurs machines. Les risques évoqués vont de la fuite de secrets industriels à l'extorsion, voire à l'usurpation d'identité pour déposer d'autres candidatures. Une attaque qui commence par une "offre à très haut salaire" Le vecteur initial le plus fréquent n'est pas un e-mail d'hameçonnage, mais une opportunité d'emploi crédible en apparence. Les attaquants se présentent comme des sociétés d'IA, de crypto ou de NFT et contactent des développeurs via les réseaux sociaux, les sites d'emploi, les plateformes de missions et les marketplaces freelance. Après un premier échange, ils organisent souvent un entretien vidéo en ligne ou demandent un test de programmation. L'infection se produit pendant l"évaluation technique". Les candidats reçoivent un dépôt de code à exécuter en local, avec une demande de correction de bugs, de tests, ou même de dépannage d'un outil de visioconférence. Les projets semblent être des environnements JavaScript, Python ou VS Code ordinaires, mais intègrent du code malveillant. Les autorités indiquent que WaterPlum s'appuie fréquemment sur des paquets NPM (Node.js package manager) compromis, associés à plusieurs familles de malwares dont BeaverTail, InvisibleFerret, OtterCookie, OtterCandy et StoatWaffle. Certains projets abusent du fichier de configuration .vscode/tasks.json pour exécuter automatiquement du code dès l'ouverture du dossier dans VS Code et l'octroi de la confiance par l'utilisateur. Pour la victime, l'enchaînement paraît banal: téléchargement, ouverture, exécution à la demande de l"intervieweur", pendant que le malware s'installe discrètement. Une fois l'accès initial obtenu, les attaquants déploient des chevaux de Troie d'accès à distance pour conserver le contrôle sur la durée et utilisent des outils de vol d'informations. Les principales données recherchées incluent: - identifiants et mots de passe enregistrés dans le navigateur; - contenu du presse-papiers, saisies clavier et captures d'écran; - clés privées, phrases de récupération (seed/mnemonic) et données associées aux portefeuilles crypto; - fichiers locaux et dossiers partagés; - photos de documents d'identité (permis de conduire, passeport). Ces informations sont ensuite exfiltrées vers un serveur contrôlé par les attaquants. Les autorités avertissent qu'un portefeuille peut être vidé même si aucun actif n'y figure au moment de l'infection: dès lors que la clé privée ou la phrase mnémonique est compromise, l'adresse peut être surveillée sur le long terme et les fonds transférés dès qu'ils arrivent. Le risque dépasse largement le portefeuille personnel. Les développeurs disposent souvent d'accès à des dépôts de code, des services cloud et des systèmes internes. En exploitant des identifiants et des permissions déjà présentes sur l'appareil, WaterPlum peut infiltrer les environnements de l'employeur, de clients ou de partenaires, étendre sa présence dans le réseau, voler des données sensibles et monnayer ces informations par l'extorsion. Des "hubs" de télétravail cachés dans des logements à l'étranger Les permis de conduire, passeports et autres pièces d'identité dérobés ont une seconde utilité: ils seraient transmis à des informaticiens nord-coréens qui se font passer pour les victimes afin de candidater à des postes à l'international et générer des revenus en devises. D'après la NPA et le FBI, WaterPlum diffuse surtout les malwares via de fausses offres d'emploi, tandis que ces informaticiens opèrent comme des développeurs basés à l'étranger; les deux écosystèmes partageraient en partie personnels et infrastructures. Les autorités estiment que des membres de WaterPlum et certains informaticiens nord-coréens sont affiliés au 313th Bureau du Military Industry Department, rattaché au Comité central du Parti du travail de Corée. Pour contourner les contrôles d'identité et de localisation imposés par les entreprises, ces opérateurs s'appuient sur des intermédiaires à l'étranger. Ces derniers installent des ordinateurs de travail dans des résidences locales, fournissent des informations d'identité, perçoivent les salaires, tandis que le travail est réalisé à distance depuis la Corée du Nord, la Russie et d'autres zones. Le dispositif permet de se connecter aux systèmes d'entreprise via des machines et réseaux situés au Japon ou aux États-Unis, donnant l'illusion d'une présence locale. Les auxiliaires reçoivent aussi les ordinateurs fournis par l'employeur, mettent à disposition des pièces d'identité et des comptes bancaires, puis transfèrent les salaires aux opérateurs. La NPA précise qu'il s'agit de la première découverte de ce type de structure au Japon. L'enquête indique que les personnes impliquées ont non seulement aidé à masquer identité et lieu de travail, mais aussi transféré à l'étranger des fonds totalisant des dizaines de millions de yens, y compris en cryptomonnaies. L'avis rappelle que fournir du travail, effectuer des paiements à des informaticiens nord-coréens, ou les assister via des informations d'identité, des comptes bancaires ou des dispositifs d'accès à distance peut enfreindre le droit local et violer les sanctions visant la Corée du Nord. Les autorités citent aussi des risques opérationnels: dans un cas, un informaticien nord-coréen a extorqué son employeur après un litige salarial et a rendu public le code source propriétaire; dans un autre, un prestataire chargé de la maintenance d'un site l'a modifié de manière malveillante, le rendant indisponible. Des CV falsifiés pour cibler une plateforme d'échange japonaise Les entreprises crypto figurent parmi les secteurs privilégiés de ces informaticiens. En mai 2025, une plateforme d'échange japonaise a reçu une candidature pour un poste d'ingénieur, soupçonnée d'être liée à un informaticien nord-coréen. La personne avait consulté l'offre via un VPN et transmis un CV falsifié. Le profil était présenté comme exceptionnellement complet: maîtrise revendiquée de nombreux langages de programmation, technologies blockchain, systèmes crypto et services cloud, avec plus de dix compétences et expériences listées dans chaque catégorie. Le parcours mentionnait des études dans des universités européennes et des expériences professionnelles dans plusieurs villes d'Europe et d'Asie sur une période courte. Lors de l'entretien vidéo, le candidat a déclaré être né en Malaisie et vivre en Finlande, avec le malais et le chinois comme langues maternelles. Les intervieweurs ont toutefois constaté un niveau d'anglais incompatible avec le parcours annoncé: réponses limitées à des questions simples et incapacité à expliquer en détail la plupart des compétences techniques affichées. L'avis recense d'autres signaux fréquemment observés: refus de rendez-vous en présentiel, exigence d'un paiement en cryptomonnaie, regards répétés vers un autre écran, voix d'autres personnes perceptibles en arrière-plan, et mises en mémoire tampon récurrentes de la vidéo ou de l'audio. Les regards vers un second écran peuvent indiquer la lecture de réponses fournies par un tiers; même si un seul candidat apparaît à l'image, plusieurs personnes peuvent collaborer en coulisses pour simuler les compétences affichées. Après une infection, supprimer le malware ne suffit pas Les autorités et plusieurs organisations internationales insistent: nettoyer la machine ne garantit pas que le portefeuille reste sûr. Le malware peut déjà avoir récupéré la clé privée, la phrase de récupération ou des identifiants stockés dans le navigateur, sans agir immédiatement. Une porte dérobée peut également rester en place pour attendre un moment plus opportun. Recommandation principale: ne pas exécuter directement du code fourni par un inconnu sur un appareil qui stocke des actifs crypto ou traite des données sensibles. Si un test est nécessaire, utiliser un bac à sable ou une machine virtuelle isolée, et inspecter le projet à la recherche de code obfusqué, illisible ou téléchargeant automatiquement des éléments avant exécution. Vigilance accrue sur les scripts contenant curl, base64, mshta, InvokeWebRequest, ou d'autres commandes servant au téléchargement, à l'encodage ou à la dissimulation de l'exécution. Si un antivirus signale une infection, ou si un programme fourni par un employeur suspect a déjà été exécuté, il faut couper immédiatement la connexion réseau. Même après suppression du malware, il convient de considérer les données du portefeuille comme compromises: créer un nouveau portefeuille sur un appareil distinct et sécurisé, transférer tous les actifs, conserver la nouvelle phrase mnémonique hors ligne. Compte tenu du risque de portes dérobées non détectées, la mesure la plus sûre consiste à sauvegarder les données indispensables puis à réinstaller complètement le système d'exploitation ou à réinitialiser l'appareil, plutôt que de continuer à utiliser l'environnement existant.