Le bug NOFX AI expose les clés API, SlowMist prévient d'un risque majeur

NOFX AI, un système de trading automatisé open-source construit sur DeepSeek/Qwen AI. Il fait face à une crise de sécurité grave après que SlowMist a découvert des vulnérabilités. Cela pourrait exposer les clés API de la plateforme d'échange et les clés privées. Le problème affecte les utilisateurs de grandes plateformes d'échange, y compris Binance, Hyperliquid et Aster DEX. SlowMist exhorte maintenant les déployeurs à agir immédiatement avant que les attaquants n'exploitent ces faiblesses pour vider les fonds.

Le défaut du mode administrateur laisse les clés complètement exposées

SlowMist a commencé à enquêter sur le système après avoir reçu un avertissement d'un chercheur en sécurité de la communauté. L'équipe a rapidement découvert que plusieurs versions de NOFX AI étaient livrées avec le mode administrateur. Il est activé par défaut et, pire encore, le système ne effectuait aucune vérification d'authentification. En raison de cela, n'importe qui pouvait simplement visiter le point d'accès public /api/exchanges et récupérer instantanément des données sensibles. Telles que les clés API, les clés secrètes et les clés de portefeuille privées.

Ce problème est survenu à cause d'un commit publié le 31 octobre. Il a codé en dur le mode administrateur sur “true” dans le fichier de configuration et les scripts de migration de la base de données. Le serveur a ensuite ignoré toute autorisation lorsque le mode administrateur était actif. En termes simples, toute instance NOFX AI fonctionnant avec les paramètres par défaut était effectivement déverrouillée. Autrement dit, quiconque disposant du lien pouvait entrer et prendre les clés, littéralement.

Les tentatives de patch n'ont pas corrigé le problème central

Les développeurs ont essayé de résoudre le problème le 5 novembre en ajoutant la vérification du token JWT. Cependant, SlowMist a constaté que le correctif avait à peine changé la situation. La configuration par défaut était toujours livrée avec un secret JWT connu publiquement. Cela permettait aux attaquants de générer des tokens valides et de continuer à accéder à des points d'accès sensibles. Pire encore, de plus, le point d'accès principal /api/exchanges continuait de renvoyer des champs sensibles en JSON clair ; rien n'était masqué ou crypté.

SlowMist a également confirmé que la branche de développement la plus récente contenait encore :

• Le mode administrateur est défini sur « vrai » par défaut
• Les clés JWT par défaut laissées intactes
• Données sensibles renvoyées sans restriction

Parce que la branche principale utilise toujours l'ancienne version sans authentification, des milliers de déploiements restent largement ouverts sur Internet public.

Binance et OKX interviennent pour protéger les utilisateurs

Une fois que SlowMist a réalisé l'ampleur de l'exposition, ils ont contacté Binance et OKX pour coordonner des mesures de protection d'urgence. Ensemble, les équipes ont examiné les clés API affectées et ont forcé des réinitialisations pour les utilisateurs à risque. Tous les utilisateurs CEX impactés ont maintenant été notifiés et leurs clés ont été révoquées. Cependant, les équipes n'ont pas pu joindre tous les utilisateurs d'Aster et d'Hyperliquid en raison des structures de portefeuille décentralisées. SlowMist exhorte maintenant quiconque utilisant NOFX AI sur ces plateformes à revoir immédiatement leur configuration.

Les utilisateurs sont invités à désactiver le mode administrateur et à remplacer les clés maintenant

SlowMist recommande à tous les déployeurs :

• Désactiver le mode administrateur immédiatement
• Remplacez toutes les clés API et les clés privées
• Changez le secret JWT par une valeur forte et aléatoire
• Restreindre les points de terminaison sensibles
• Évitez d'exposer NOFX AI directement à l'internet public

Les outils de trading IA open-source se développent rapidement. Mais ce cas met en évidence les risques de déploiement de systèmes en phase de démarrage sans audits de sécurité complets. Tant que NOFX AI n'a pas entièrement corrigé ces défauts, les utilisateurs doivent considérer tout déploiement public comme à haut risque.