🌅 Украли не контракты, а подпись

Вечером 19 сентября из конвертера FET вывели 8,7 млн токенов на $1,5 млн, и в ту же минуту с аккаунта деплоера NuNet наминтили 408,5 млн NTX, более 42% всего сапплая. Атакующий не искал вторую цель после первой, и доступ к обоим проектам у него был с самого начала.

NuNet вырос внутри SingularityNET еще в 2018 году и стал отдельной компанией только в 2021-м, а в прошлом году Fetch.ai и SingularityNET вместе с Ocean Protocol собрались в Artificial Superintelligence Alliance, объединение проектов, ради которого их токены слили в общий FET. Так что родственность, которая в маркетинге продается как синергия, на практике означает общие мосты, бэкенды и одни и те же ключи с админскими правами.

🔑 По предварительному разбору Fetch.ai, были украдены не деньги, а служебный ключ, которым мост SingularityNET подписывает операции. Этой подписью можно было выписывать себе разрешения, и контракт увидел не взлом, а обычную заявку, и честно отдал весь остаток FET, который лежал в конвертере, по запросу.

Второй скомпрометированный ключ отвечал за выпуск NTX, поэтому там даже красть ничего не пришлось, и токены просто напечатали. У атакующего были полномочия, которых у постороннего быть не должно, и протокол подчинялся им беспрекословно.

Дырявой оказалась и сама схема проверки. Когда токены уходили из конвертера наружу, на размер операции стоял лимит, а вот на входящую конвертацию, по которой все и вынесли, никакого лимита не было, так что пул получилось обнести одной транзакцией. При этом никто не проверял, действительно ли на другой стороне моста заблокированы или сожжены соответствующие токены.

🥲 Последствия для двух токенов разошлись очень сильно. FET просел всего на 5–10%: у него вывели уже лежавшую в конвертере ликвидность, а не новую эмиссию, да и ASI сразу заявила, что биржевые кошельки проекта и кошельки пользователей не затронуты. NTX получил удар прямо по сапплаю и почти обнулился.

Дальше картина стала веселее. PeckShield сообщил, что тот же кластер напечатал еще 260 млн AGIX и почти 54 млн WMTX, а на балансах атакующего засветилось около $16,8 млн, из которых почти $14,4 млн приходилось на AGIX и $1,7 млн на ETH, в которые успели свапнуть часть добычи.

🛡 Fetch.ai отключила затронутые кошельки и контракты, ASI подтвердила инцидент и пообещала полный отчет по итогам расследования. От NuNet публичных разборов почти не было, и это хуже всего: их проблема не в опустошенном пуле, который можно пополнить, а в лишней эмиссии, которая уже ушла в рынок.

Пока AI держится не на децентрализации, а на подписях мостов, конвертеров и деплоеров, альянс из трех громких брендов превращается в одну точку отказа.

Подписывайтесь на канал, ставьте лайк, заходите в чат👇

🧑‍🚀 Канал | Чат | Обменник