Eine Wallet verbindet 1,55 Millionen Dollar FetchAI-Diebstahl mit massiven 408,5 Millionen NTX-Prägung

Ein koordinierter Angriff entleerte 8,7 Millionen FET und verwendete einen kompromittierten NuNet-Minter-Schlüssel, um 408,5 Millionen NTX zu erstellen.

Der Angriff am 19. September leerte den Ethereum-seitigen Umwandlungsvertrag, der von der Brücke von SingularityNET verwendet wird, und entfernte 8.721.530 FET im Wert von etwa 1,55 Millionen Dollar zu diesem Zeitpunkt. Neunundzwanzig Minuten später erstellte ein gestohlener NuNet-Minter 408,5 Millionen NTX und sendete die Token an dieselbe Empfangs-Wallet, laut einem On-Chain-forensischen Bericht, der von Athena erstellt wurde.

Fetch.ai pausierte daraufhin die AGIX-zu-FET-Konversionen und seinen Ethereum-seitigen Brückenvertrag als Vorsichtsmaßnahme. Das Unternehmen erklärte, dass die betroffene Infrastruktur zu SingularityNET gehörte, hauptsächlich dessen Ethereum-Cardano-Brücke, während die eigenen Verträge von Fetch.ai und normale FET-Übertragungen weiterhin funktionierten.

Der forensische Bericht identifizierte den betroffenen Vertrag als TokenConversionManagerV3, das legitime Ethereum-seitige Lock-and-Release-Element der Brücke von SingularityNET. Der verifizierte Quellcode stimmt mit dem öffentlichen Repository von SingularityNET überein, und der Vertrag ist an den aktuellen FET-Token der Artificial Superintelligence Alliance gebunden.

Ermittler verfolgten den Verlust auf einen kompromittierten Backend-Autorisierungsschlüssel zurück, nicht auf einen Fehler, der es einem Angreifer ermöglichte, den Brückenvertrag zu umgehen. Die Transaktion trug eine gültige Signatur von der Adresse, der der Vertrag vertraut, was es der Funktion conversionIn ermöglichte, das gesamte FET-Guthaben an eine vom Angreifer kontrollierte Wallet freizugeben.

Das Design des Vertrags verstärkte den Schaden. Die Transaktionsobergrenze von 1 Million FET galt für Token, die aus Ethereum heraus bewegt wurden, wurde jedoch bei conversionIn nicht durchgesetzt, was es dem Angreifer ermöglichte, 8,72 Millionen FET in einer Transaktion abzuheben. Die signierte Nachricht konnte auch den endgültigen Empfänger nicht binden, was bedeutete, dass eine gültige Autorisierung die Token an eine vom Anrufer ausgewählte Adresse leiten konnte.

Dieselbe Wallet verbindet separate kompromittierte Schlüssel

Die NuNet-Aktivität liefert den stärksten Beweis dafür, dass der FET-Abfluss Teil einer umfassenderen koordinierten Operation war.

Um 20:50 UTC, 29 Minuten nach dem FET-Abzug, erstellte ein NuNet-Minter-Schlüssel, der seit März 2023 inaktiv war, 408.532.878 NTX und sendete den gesamten Betrag an dieselbe Wallet, die die gestohlenen FET erhalten hatte. Die Prägung entsprach etwa 42 % des dokumentierten Token-Angebots von NuNet, so der Bericht.

Ein späterer forensischer Durchgang verstärkte diese Verbindung. Um 19:36 UTC, 45 Minuten vor dem FET-Abfluss, sendete der NuNet-Minter 0,3667 ETH direkt an die endgültige Empfangs-Wallet, während ein weiteres mit dem Angreifer verbundenes Konto 24,3 Millionen NTX dorthin bewegte.

NTX-Verkäufe über die Swap-Infrastruktur von MetaMask hatten ebenfalls begonnen, bevor die FET-Brücke geleert wurde, was darauf hindeutet, dass die Operation mit den beiden kompromittierten Anmeldeinformationen bereits vor dem Hauptabzug im Gange war.

Der Angreifer begann dann, die Vermögenswerte umzuwandeln. Die gestohlenen FET wurden über die Swap-Infrastruktur von MetaMask geleitet und größtenteils gegen Ethereum getauscht, während mehr als 217 Millionen der neu geprägten NTX über dezentrale Liquiditätsplattformen verkauft wurden.

Um etwa 1:10 UTC am 20. September hielt die zentrale Wallet 547,89 ETH im Wert von etwa 1,44 Millionen Dollar und weitere 230 Millionen NTX, so der Bericht.

Die Liquidität wurde schnell zu einer Einschränkung auf der NTX-Seite. Vier spätere Verkäufe mit 38,55 Millionen NTX erhöhten das ETH-Guthaben des Angreifers nur um etwa 0,30 ETH, da die verfügbaren Pools erschöpft waren. Eine separate Transaktion mit 10 Millionen NTX, die über das Mayan-Protokoll geleitet wurde, brachte letztendlich etwa 940 USDT für den Cross-Chain-Versand.

Die Störung weitete sich später über die beiden in dem forensischen Bericht untersuchten Vermögenswerte hinaus aus. Bitvavo stellte am 20. September die Einzahlungen und Abhebungen von WMTX ein, nachdem ein aktives Sicherheitsereignis, das den Token betraf, genannt wurde, und stoppte dann vorübergehend den Handel. Die Börse erklärte, dass die Kundenguthaben sicher blieben.

Historisches Material von SingularityNET zeigt, dass WMTX, FET und NTX alle Infrastruktur verwendeten, die mit dem Ethereum-Cardano-Brückenökosystem verbunden war. Die verfügbaren forensischen Beweise untersuchten jedoch die FET- und NTX-Aktivitäten im Detail und stellen nicht fest, dass WMTX durch denselben Mechanismus kompromittiert wurde.

Fetch.ai erklärte, dass es mit SingularityNET zusammenarbeitet und die Konversionen pausiert hat, während es den Vorfall untersucht.

Das erste Tracking-Fenster des Berichts stellte fest, dass die kompromittierten FET-Brückenautorisierer und NuNet-Minter-Anmeldeinformationen etwa fünf Stunden nach dem Angriff noch nicht rotiert oder widerrufen worden waren. Zu diesem Zeitpunkt war die FET-Brücke leer und inaktiv.

Das macht die Wiederherstellung der Anmeldeinformationen zentral für die Wiederherstellung der betroffenen Dienste. Das Auffüllen des FET-Umwandlungsvertrags, während derselbe Autorisierer weiterhin vertraut bleibt, könnte frische Liquidität einem weiteren signierten Abzug aussetzen, während NuNet einem separaten Risiko gegenübersteht, solange die betroffene Wallet die Autorität behält, zusätzliche NTX zu erstellen.

Die AGIX-zu-FET-Konvertierungsdienste von Fetch.ai und die Ethereum-seitige Brücke sind daher unter den klarsten operativen Markern, die zu beobachten sind.

Für WMTX hat Bitvavo erklärt, dass der Handel und die Überweisungen eingeschränkt bleiben, während es den Vorfall bewertet, was die Wiedereröffnung der Börse und die Rotation der Anmeldeinformationen zu den nächsten sichtbaren Tests macht, um festzustellen, ob die betroffene Infrastruktur sicher ist.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.