Ein Angreifer greift zwei Krypto-Projekte an und macht sich mit 2 Millionen Dollar aus dem Staub

Ein Angreifer, zwei Krypto-Projekte und 2 Millionen Dollar weg

In der Nacht von Samstag auf Sonntag gelang es jemandem, der im Besitz der richtigen kryptografischen Schlüssel war, fast zeitgleich zwei Krypto-Projekte anzugreifen und so aus scheinbar unabhängigen Exploits einen äußerst seltsamen Raubzug in Höhe von 2 Millionen Dollar zu machen. Auf der Seite von Fetch.ai verschwanden 8.721.530 FET im Wert von rund 1,55 Millionen Dollar aus einem Token-Konverter. Auf der anderen Seite stahl der Angreifer nicht nur Coins, die bereits irgendwo lagen.

Er schuf etwa 408,5 Millionen neue NTX, die zu diesem Zeitpunkt einen Wert von etwa 452.000 bis 463.000 Dollar hatten. Diese Prägung entsprach etwa 42 % des NTX-Angebots. Peckshield, Blockaid und Fetch.ai konnten die Aktivität schließlich demselben Wallet-Cluster zuordnen.

Eine Signatur öffnete den FET-Tresor

Beim jüngsten FET-Diebstahl handelte es sich nicht um einen Fall, bei dem jemand eine raffinierte mathematische Schwachstelle entdeckt und einen Smart Contract ausgenutzt hätte. Der TokenConversionManagerV3-Vertrag von Fetch.ai akzeptierte über seine Funktion `conversionIn()` eine gültige Signatur des Konvertierungsautorisierers. Das Problem bestand darin, dass diese Signatur im Wesentlichen die Kontrollinstanz darstellte. Im Gegensatz zu „conversionOut()“ führte die Funktion weder den Modifikator „checkLimits(amount)“ aus, noch überprüfte sie on-chain, ob die entsprechenden Token an anderer Stelle gesperrt oder verbrannt worden waren.

Sobald der Signaturschlüssel kompromittiert war, konnte der Angreifer eine neue, gültige Nachricht erstellen, die auf seine eigene Adresse verwies. Eine Transaktion später war der verbleibende FET-Bestand des Konverters verschwunden. Eine vorläufige Untersuchung von Fetch.ai führte die kompromittierten Zugangsdaten auf einen Backend-Signaturschlüssel zurück, der von der kettenübergreifenden Brücke von SingularityNET verwendet wurde. Ein separater NTX-Präge-Schlüssel wurde ebenfalls kompromittiert, wobei Fetch.ai angab, dass beide Angriffspfade in derselben Minute begannen.

An diesem Zeitpunkt wird die Geschichte noch seltsamer. Es handelte sich nicht einfach um zwei Projekte, die gleichzeitig ein schlechtes Wochenende hatten. Derselbe Angreifer scheint sich Zugangsdaten beschafft zu haben, mit denen Transaktionen über die gesamte verbundene Infrastruktur autorisiert werden konnten, und hat diese dann fast zeitgleich eingesetzt.

408,5 Millionen Token tauchten aus dem Nichts auf

Auf der NTX-Seite waren die Auswirkungen auf den Token selbst erheblich verheerender. Anstatt eine begrenzte Wallet zu leeren, erlangte der Angreifer die Fähigkeit, neue Coins zu erschaffen. Plötzlich kamen rund 408,5 Millionen NTX ins Spiel, was etwa 42 % des Gesamtangebots entspricht.

Anders ausgedrückt: Für jeweils 10 NTX, die bereits im Umlauf waren, hatte der Angreifer plötzlich das Äquivalent von etwa vier weiteren geschaffen. Das ist ein gravierendes Problem für einen Token mit geringem Handelsvolumen. Der NTX-Wechselkurs hatte vor dem Vorfall bei etwa 0,0013 US-Dollar gelegen. Marktdaten zeigten einen Rückgang um mehr als 70 % und ein Tief von 0,000328 US-Dollar, während spätere Daten aufgrund der sich verschlechternden Liquidität noch niedrigere Preise auswiesen. Einige Tracker verzeichneten Rückgänge von 96 % bis 99 %, wobei die genauen Preise je nach Handelsplatz stark variierten, da der Markt so dünn war.

FET wurde ganz anders getroffen. Sein Umlaufbestand stieg nicht plötzlich sprunghaft an, da der Angreifer vorhandene Bestände aus einem Konverter gestohlen hatte. FET fiel über mehrere Datenquellen hinweg um etwa 5 % bis 8 % – schmerzhaft, aber bei weitem nicht so stark wie der Einbruch von NTX.

Die Beute wurde schnell in ETH umgewandelt

Der Angreifer ließ die gestohlenen Vermögenswerte nicht einfach herumliegen. PeckShield verfolgte, wie der Wallet-Cluster die Erlöse in 546,36 ETH umwandelte, die zu diesem Zeitpunkt einen Wert von rund 1,44 Millionen US-Dollar hatten. Ein späterer Snapshot von Fetch.ai zeigte etwa 547,89 ETH sowie rund 230 Millionen NTX, die noch immer in einer Wallet lagen.

Diese verbleibenden NTX sind von Bedeutung, da ein großer Teil des neu geschaffenen Angebots offenbar noch nicht verkauft worden war, als Fetch.ai seine erste Analyse veröffentlichte. Der Markt musste sich daher nicht nur mit bereits auf den Markt geworfenen Coins auseinandersetzen, sondern auch mit weiteren Hunderten von Millionen, die potenziell über dünnen Orderbüchern schwebten.

Fetch.ai erklärte, dass Treasury-Mittel, Wallet-Konten von Börsen sowie Coins von Nutzern, die in Eigenverwahrung oder auf Börsen gehalten wurden, nicht betroffen waren. Das Team begann, gemeinsam mit SingularityNET daran zu arbeiten, die betroffenen Wallets und Verträge zu deaktivieren, und warnte die Nutzer gleichzeitig, unaufgeforderte Nachrichten zu ignorieren und sich auf offizielle Kanäle zu verlassen.

Die fehlende Antwort ist, wie die Schlüssel in die falschen Hände gelangten

Die Ermittler haben die Mechanismen des Angriffs weitaus besser erklärt als dessen Ursprung. SlowMist beschrieb detailliert, wie der FET-Konverter die kompromittierte Signatur akzeptierte, während Fetch.ai den beteiligten SingularityNET-Bridge-Signierer und den NTX-Präge-Schlüssel identifizierte. Was bisher niemand öffentlich geklärt hat, ist, wie diese Zugangsdaten überhaupt kompromittiert wurden.

Es gibt noch keine bestätigte öffentliche Antwort darauf, ob Phishing, ein Server-Einbruch, ein durchgesickertes Backup oder etwas anderes die Schlüssel in die Hände des Angreifers gebracht hat. Außerdem müssen noch Hunderte Millionen neu geprägter NTX berücksichtigt werden, ebenso wie die Frage, ob Börsen die gekennzeichneten Gelder einfrieren können oder ob das zusätzliche Angebot irgendwie neutralisiert werden kann.

Die Blockchain hat genau das getan, was die gültigen Signaturen ihr befohlen haben. Das ist vielleicht der seltsamste Aspekt der ganzen Geschichte. FET hat nachgegeben. NTX ist zusammengebrochen.