Un atacante ataca dos proyectos de criptomonedas y se lleva 2 millones de dólares

Un atacante, dos proyectos de criptomonedas y 2 millones de dólares desaparecidos

Entre la noche del sábado y la madrugada del domingo, alguien que poseía las claves criptográficas adecuadas logró atacar dos proyectos de criptomonedas casi simultáneamente, convirtiendo lo que podrían haber parecido exploits inconexos en un extraño robo de 2 millones de dólares. Por parte de Fetch.ai, desaparecieron 8 721 530 FET, por un valor aproximado de 1,55 millones de dólares, de un conversor de tokens. Por otro lado, el atacante no se limitó a robar monedas que ya se encontraban en algún lugar.

Creó unos 408,5 millones de NTX nuevos, con un valor aproximado de entre 452 000 y 463 000 dólares en ese momento. Esa emisión representaba alrededor del 42 % del suministro de NTX. Peckshield, Blockaid y Fetch.ai acabaron relacionando la actividad con el mismo grupo de monederos.

Una sola firma abrió la caja fuerte de FET

El último robo de FET no se debió a que alguien descubriera una ingeniosa falla matemática y se aprovechara de un contrato inteligente. El contrato TokenConversionManagerV3 de Fetch.ai aceptó una firma válida de autorización de conversión a través de su función conversionIn(). El problema era que esta firma era, en esencia, el guardián. A diferencia de conversionOut(), la función no ejecutaba el modificador checkLimits(amount), ni verificaba en la cadena de bloques que los tokens correspondientes hubieran sido bloqueados o quemados en otro lugar.

Una vez que la clave de firma quedó comprometida, el atacante pudo crear un nuevo mensaje válido que apuntaba a su propia dirección. Una transacción más tarde, el inventario restante de FET del conversor había desaparecido. La revisión preliminar de Fetch.ai rastreó la credencial comprometida hasta una clave de firma del backend utilizada por el puente entre cadenas de SingularityNET. También se vio comprometida una clave de acuñación de NTX independiente, y Fetch.ai afirmó que ambas vías de ataque comenzaron en el mismo minuto.

Es ahí, en ese momento, donde la historia se vuelve más extraña. No se trataba simplemente de dos proyectos que tuvieron un mal fin de semana al mismo tiempo. El mismo operador parece haber obtenido credenciales capaces de autorizar transacciones en toda la infraestructura conectada y, a continuación, las utilizó casi simultáneamente.

408,5 millones de tokens aparecieron de la nada

En el caso del NTX, el impacto fue considerablemente más destructivo para el propio token. En lugar de vaciar un monedero con un saldo finito, el atacante consiguió la capacidad de crear nuevas monedas. De repente, entraron en juego aproximadamente 408,5 millones de NTX, lo que equivale a alrededor del 42 % del suministro.

Dicho de otro modo, por cada 10 NTX que ya formaban parte del suministro, el atacante había creado de repente el equivalente a aproximadamente cuatro más. Se trata de un problema brutal para un token con escaso volumen de negociación. El tipo de cambio del NTX se había mantenido cerca de los 0,0013 dólares antes del incidente. Los datos de mercado mostraron una caída de más del 70 % y un mínimo de 0,000328 dólares, mientras que las cotizaciones posteriores registraron precios aún más bajos a medida que se deterioraba la liquidez. Algunos rastreadores registraron caídas del 96 % al 99 %, aunque los precios exactos variaron considerablemente entre las distintas plataformas debido a que el mercado era muy poco líquido.

El FET sufrió un golpe muy diferente. Su oferta circulante no se disparó de repente porque el atacante robara el inventario existente de un conversor. El FET cayó aproximadamente entre un 5 % y un 8 % en varias fuentes de datos, lo cual fue doloroso, pero ni de lejos se acercó al colapso del NTX.

El botín se convirtió rápidamente en ETH

El atacante no se limitó a dejar los activos robados sin hacer nada. PeckShield rastreó el grupo de carteras que cambiaba las ganancias por 546,36 ETH, con un valor aproximado de 1,44 millones de dólares en ese momento. Una instantánea posterior de Fetch.ai mostraba unos 547,89 ETH junto con aproximadamente 230 millones de NTX que aún permanecían en una cartera.

Esos NTX restantes son importantes porque, al parecer, una gran parte del suministro recién acuñado aún no se había vendido cuando Fetch.ai publicó su análisis inicial. Por lo tanto, el mercado tuvo que hacer frente no solo a las monedas ya vendidas en masa, sino también a otros cientos de millones que potencialmente pendían sobre unos libros de órdenes escasos.

Fetch.ai afirmó que los fondos de la tesorería, las carteras de las plataformas de intercambio y las monedas de los usuarios que se encontraban bajo custodia propia o en las plataformas de intercambio no se vieron afectadas. El equipo comenzó a colaborar con SingularityNET para desactivar las carteras y los contratos afectados, al tiempo que advertía a los usuarios de que ignoraran los mensajes no solicitados y se fiaran únicamente de los canales oficiales.

La respuesta que falta es cómo se filtraron las claves

Los investigadores han explicado el mecanismo del ataque mucho mejor que su origen. SlowMist detalló cómo el conversor FET aceptó la firma comprometida, mientras que Fetch.ai identificó al firmante del puente de SingularityNET y la clave de acuñación de NTX implicados. Lo que nadie ha aclarado públicamente es cómo se vieron comprometidas esas credenciales en primer lugar.

Aún no hay una respuesta pública confirmada que aclare si fue el phishing, una intrusión en el servidor, una copia de seguridad filtrada u otra causa lo que puso las claves en manos del atacante. También quedan por contabilizar cientos de millones de NTX recién acuñados, junto con la cuestión de si las plataformas de intercambio pueden congelar los fondos etiquetados o si el suministro adicional puede neutralizarse de alguna manera.

La cadena de bloques hizo exactamente lo que las firmas válidas le indicaron que hiciera. Quizá esa sea la parte más extraña de todo el episodio. FET se tambaleó. NTX se desplomó.