La fondation 0G perd 520 000 $ après un piratage massif : 520 010 jetons 0G et autres cryptos volés

La sécurité des protocoles Web3 est à nouveau sous les projecteurs. La fondation 0G a été la cible d'une attaque qui a vidé ses coffres numériques, laissant un trou de plus d'un demi-million de dollars dans sa trésorerie.

Le butin des pirates

Les chiffres sont précis et parlent d'eux-mêmes. Les assaillants se sont enfuis avec un stock de 520 010 jetons natifs 0G, complété par un assortiment d'autres actifs cryptographiques. Au taux du jour, l'addition s'élève à environ 520 000 $ — une somme qui aurait pu financer une bonne partie du développement du protocole, ou au moins une conférence bien arrosée à Davos.

Les failles, une constante du secteur

Cet incident s'inscrit dans une longue série de rappels à la réalité pour l'industrie. Malgré les promesses d'immuabilité et de sécurité absolue, les smart contracts et les portefeuilles de fondation restent des points d'entrée privilégiés pour les acteurs malveillants. Chaque piratage de ce type érode un peu plus la confiance des investisseurs institutionnels que le secteur courtise désespérément.

Un coup dur pour la crédibilité

Pour un projet comme 0G, dont la valeur repose sur la confiance en sa robustesse technique, un tel événement est plus qu'un simple revers financier. C'est une crise de crédibilité. La communauté et les partenaires potentiels vont désormais exiger des comptes sur les mesures de sécurité qui ont failli et sur les plans de remboursement, le cas échéant. Dans la finance traditionnelle, une perte opérationnelle de cette ampleur déclencherait un audit réglementaire immédiat ; dans les cryptos, on publie un thread sur X et on croise les doigts.

L'argent des autres est toujours le plus facile à dépenser — ou à se faire voler. L'écosystème crypto apprendra-t-il enfin à protéger ses coffres avec la même férocité qu'il défend ses narratives de croissance exponentielle ?

L' traca été lié à une fuite de clé privée.

Selon la fondation , l'attaquant a exploité une fonction de retrait d'urgence dans le contrat de récompense concerné trac avoir obtenu l'accès à une clé privée qui avait été stockée par inadvertance sur un serveur cloud compromis.

La clé était liée à une instance Alibaba Cloud chargée de gérer le statut des nft et les mises à jour des récompenses.

« L’attaquant a accédé à une clé privée divulguée depuis une instance AliCloud », a déclaré la fondation, ajoutant que le stockage local de clés privées en clair constituait une défaillance opérationnelle critique, et précisant : « C’est une pratique qui, nous le savons désormais, ne doit plus jamais se reproduire. »

Des investigations complémentaires ont révélé que la faille ne se limitait pas à un seul serveur. La fondation a indiqué que plusieurs instances d'AliCloud avaient été compromises après l'exploitation, le 5 décembre, d'une vulnérabilité critique du framework web Next.js, tracCVE-2025-66478. L'attaquant a pu se déplacer latéralement entre les systèmes, affectant ainsi un large éventail de services, grâce à l'utilisation d'adresses ip internes.

Ces éléments comprenaient le service d'alignement, un nœud validateur, le service Gravity NFT, l'infrastructure de vente de nœuds et plusieurs produits de l'écosystème tels que Compute, Aiverse, Perpdex et Ascend.

La fondation a toutefois affirmé qu'aucune perte supplémentaire directement liée aux actifs détenus par les utilisateurs n'avait étédent.

CertiK, une entreprise spécialisée dans la sécurité blockchain, signalé des retraits suspects trac de récompense lié à 0G , estimant les pertes conformément aux chiffres qui ont été confirmés ultérieurement par la fondation.

Quelles sont les prochaines étapes pour la Fondation 0G ?

La fondation 0G affirme avoir immédiatement mis en œuvre des mesures de sécurité. L'organisation a également corrigé la vulnérabilité de Next.js et reconstruit les services affectés.

Dans le cadre des mesures prises par 0G pour éviter qu'un teldentne se reproduise, la fondation affirme qu'elle migrera tous les services contenant des clés vers des environnements d'exécution de confiance (TEE), mettra en œuvre des exigences de portefeuille multi-signatures pour la gestion des fonds critiques et adoptera les principes de sécurité zéro confiance dans l'ensemble de son infrastructure.

Le piratage dent par la Fondation 0G survient après une levée de fonds de plus de 290 millions de dollars en novembre 2024, dont 40 millions lors d'un premier tour de table mené par Hack VC avec la participation de Delphi Ventures, OKX Ventures, Samsung Next, Animoca Brands et d'autres investisseurs. Cette levée de fonds porte le total des engagements financiers pour la plateforme à 325 millions de dollars.

0G a reconnu que cette violation de données est « un avertissement douloureux mais nécessaire ». L'organisation a également promis de publier un rapport d'analyse complet, qui permettra à sa communauté d'en savoir plus sur la façon dont la fondation a perdu 520 000 $ au profit de personnes mal intentionnées.

Vous souhaitez que votre projet soit présenté aux plus grands noms de la cryptomonnaie ? Présentez-le dans notre prochain rapport sectoriel, où données et impact se rencontrent.