Один хакер атаковал Fetch.ai, NuNet и SingularityNET

Аналитики зафиксировали серию связанных атак 19–20 сентября: с контрактов Fetch.ai, NuNet и через мост SingularityNET были выведены и выпущены крупные объемы токенов. В результате атак из конвертера Fetch.ai вывели 8,72 млн FET, затем были эмитированы сотни миллионов NTX, AGIX и WMTx.

Первые операции начались вечером 19 сентября. Из контракта конвертации Fetch.ai ушли 8,7 млн FET, оценённых тогда примерно в $1,53 млн. По предварительному анализу, функция conversionIn() принимала действительную подпись авторизованного адреса, не проверяя, заблокированы ли или уничтожены ли соответствующие активы в другой сети, что позволило получить весь баланс конвертера в одной транзакции. Примерно через полчаса на те же адреса поступили 408,5 млн новых NTX после получения прав на эмиссию в аккаунте NuNet.

На раннем этапе часть выведенных активов была обменена на эфир: специалисты отметили операции с суммарно около 546,36 ETH, что тогда соответствовало примерно $1,44 млн. 20 сентября атака продолжилась через инфраструктуру SingularityNET: через мост в Ethereum без обеспечения были выпущены 260 млн AGIX и 53,838 млн WMTx.

Дальнейший подсчёт выявил большие объёмы эмиссий. По данным анализа, за ночь были созданы примерно 896 млн AGIX, 500,5 млн WMTx, 492,4 млн CGV от Cogito Finance и 408,5 млн NTX. Вместе с выведенными 8,72 млн FET общий объём затронутых токенов составил около 2,3 млрд единиц. Bitquery оценил реально реализованные активы и остатки на двух основных адресах злоумышленника примерно в $2,25 млн. Ранее аналитики оценивали совокупные рыночные остатки на связанных адресах примерно в $16,77 млн — эта сумма отражала рыночную стоимость оставшихся токенов, а не фактический доход с операций.

Перед массовой эмиссией ETH были переведены с 16 кошельков; четыре из этих адресов Bitquery соотнесла с сотрудниками SingularityNET или NuNet. Это указывает на возможную компрометацию нескольких закрытых ключей, однако точный способ получения доступа не установлен. Ранее взлом моста Taiko на $1,7 млн также продемонстрировал риски, связанные с безопасностью кроссчейн-инфраструктуры.

Команды проектов отключили затронутые кошельки и контракты. В Fetch.ai приостановили Ethereum-мост и конвертацию AGIX в FET как меру предосторожности, при этом основные контракты платформы продолжают работать. World Mobile подтвердила несанкционированную эмиссию WMTx через мост SingularityNET, отозвала права на создание новых токенов, обратилась к биржам с просьбой блокировать депозиты и начала подготовку снимка состояния сети до инцидента. Сети Cardano и инфраструктура World Mobile не пострадали. Расследование продолжается.