Скоординированная атака привела к утечке 8,7 млн FET и использованию скомпрометированного ключа майнера NuNet для создания 408,5 млн NTX.
19 сентября в результате атаки был опустошен контракт конвертации на стороне Ethereum, используемый мостом SingularityNET, из которого было выведено 8 721 530 FET на сумму около 1,55 млн долларов США по курсу на тот момент. Через двадцать девять минут украденный майнер NuNet создал 408,5 млн NTX и отправил токены на тот же кошелек-получатель, согласно отчету об анализе данных в блокчейне, подготовленному Athena.
Впоследствии Fetch.ai в качестве меры предосторожности приостановил конвертацию AGIX в FET и свой контракт моста на стороне Ethereum. Компания заявила, что затронутая инфраструктура принадлежала SingularityNET, в первую очередь ее мосту Ethereum-Cardano, в то время как собственные контракты Fetch.ai и обычные переводы FET оставались работоспособными.
Отчет об анализе данных определил затронутый контракт как TokenConversionManagerV3, легитимный компонент блокировки и выпуска на стороне Ethereum моста SingularityNET. Его проверенный исходный код совпадает с общедоступным репозиторием SingularityNET, и контракт связан с текущим токеном Artificial Superintelligence Alliance FET.
Следователи установили причину потери — скомпрометированный ключ авторизации серверной части, а не уязвимость, позволившая злоумышленнику обойти контракт моста. Транзакция имела действительную подпись с адреса, которому контракт был настроен доверять, что позволило его функции conversionIn выпустить весь баланс FET на кошелек, контролируемый злоумышленником.
Дизайн контракта усугубил ущерб. Его лимит транзакций в 1 млн FET применялся к токенам, перемещаемым из Ethereum, но не соблюдался для conversionIn, что позволило злоумышленнику вывести 8,72 млн FET за одну транзакцию. Подписанное сообщение также не привязывало конечного получателя, что означало, что действительная авторизация могла направить токены на адрес, выбранный вызывающим абонентом.
Один кошелек связывает отдельные скомпрометированные ключи
Активность NuNet является наиболее веским доказательством того, что утечка FET была частью более широкой скоординированной операции.
В 20:50 UTC, через 29 минут после вывода FET, ключ майнера NuNet, неактивный с марта 2023 года, создал 408 532 878 NTX и отправил всю сумму на тот же кошелек, который получил украденные FET. По данным отчета, эмиссия составила примерно 42% от задокументированного предложения токенов NuNet.
Последующий анализ данных уточнил эту связь. В 19:36 UTC, за 45 минут до утечки FET, майнер NuNet отправил 0,3667 ETH напрямую на конечный кошелек-получатель, в то время как другая учетная запись, связанная со злоумышленником, перевела на него 24,3 млн NTX.
Продажи NTX через инфраструктуру обмена *MetaMask также начались до того, как был опустошен мост FET, что указывает на то, что операция с использованием двух скомпрометированных учетных данных уже шла до основного вывода средств.
Затем злоумышленник начал конвертировать активы. Украденные FET были направлены через инфраструктуру обмена *MetaMask и в основном обменены на Ethereum, в то время как более 217 миллионов вновь выпущенных NTX были проданы через децентрализованные площадки ликвидности.
К примерно 1:10 UTC 20 сентября центральный кошелек содержал 547,89 ETH на сумму около 1,44 млн долларов США и еще 230 млн NTX, согласно отчету.
Ликвидность быстро стала ограничением со стороны NTX. Четыре последующие продажи с участием 38,55 млн NTX увеличили баланс ETH злоумышленника всего примерно на 0,30 ETH, поскольку доступные пулы были исчерпаны. Отдельная транзакция на 10 млн NTX, проведенная через Mayan Protocol, в конечном итоге принесла около 940 USDT для кросс-чейн отправки.
Сбой позже распространился за пределы двух активов, рассмотренных в отчете. Bitvavo приостановил депозиты и снятие WMTX 20 сентября, сославшись на активный инцидент безопасности, затрагивающий токен, а затем временно приостановил торговлю. Биржа заявила, что балансы клиентов остались в безопасности.
Исторические данные SingularityNET показывают, что WMTX, FET и NTX использовали инфраструктуру, связанную с экосистемой моста Ethereum-Cardano. Однако имеющиеся данные анализа не устанавливают, что WMTX был скомпрометирован тем же механизмом.
Fetch.ai заявил, что работает с SingularityNET, и приостановил конвертацию на время расследования инцидента.
Первое окно отслеживания в отчете показало, что учетные данные авторизатора моста FET и майнера NuNet не были отозваны или заменены примерно через пять часов после атаки. К тому времени мост FET был пуст и неактивен.
Это делает исправление учетных данных центральным элементом восстановления затронутых услуг. Пополнение контракта конвертации FET при сохранении доверия к тому же авторизатору может подвергнуть новую ликвидность еще одному подписанному выводу средств, в то время как NuNet сталкивается с отдельным риском, пока затронутый кошелек сохраняет право создавать дополнительные NTX.
Таким образом, сервис конвертации AGIX в FET от Fetch.ai и мост на стороне Ethereum являются одними из наиболее четких операционных маркеров, за которыми следует наблюдать.
Что касается WMTX, Bitvavo заявил, что торговля и переводы останутся ограниченными, пока он оценивает инцидент, оставляя открытие бирж и ротацию учетных данных следующими видимыми тестами на предмет безопасности затронутой инфраструктуры.
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Oluwapelumi Adejumo
