Yksi hyökkääjä iski kahteen kryptoprojektiin ja karkasi 2 miljoonan dollarin saaliin kanssa

Yksi hyökkääjä, kaksi kryptoprojektia ja 2 miljoonaa dollaria kadoksissa

Myöhään lauantailta sunnuntaihin joku, jolla oli hallussaan oikeat salausavaimet, onnistui iskemään kahteen kryptoprojektiin lähes samanaikaisesti, jolloin näennäisesti toisistaan riippumattomat hyökkäykset muuttuivat yhdeksi hyvin omituiseksi 2 miljoonan dollarin ryöstöksi. Fetch.ai:n puolella 8 721 530 FET:tä, joiden arvo oli noin 1,55 miljoonaa dollaria, katosi token-muuntimesta. Toisaalta hyökkääjä ei tyytynyt pelkästään varastamaan jo jossain olevia kolikoita.

Hän loi noin 408,5 miljoonaa uutta NTX-kolikkoa, joiden arvo oli tuolloin noin 452 000–463 000 dollaria. Tämä lyönti vastasi noin 42 % NTX:n tarjonnasta. Peckshield, Blockaid ja Fetch.ai pystyivät lopulta yhdistämään toiminnan samaan lompakkoryhmään.

Yksi allekirjoitus avasi FET-kassakaapin

Viimeisin FET-varkaus ei johtunut siitä, että joku olisi löytänyt ovelan matemaattisen aukon ja hyökännyt älykkään sopimuksen kimppuun. Fetch.ai:n TokenConversionManagerV3-sopimus hyväksyi kelvollisen muuntovaltuuttajan allekirjoituksen conversionIn()-funktiossaan. Ongelmana oli, että tämä allekirjoitus toimi käytännössä portinvartijana. Toisin kuin conversionOut()-funktio, tämä funktio ei suorittanut checkLimits(amount)-modifikaattoria eikä tarkistanut lohkoketjussa, oliko vastaavat tokenit lukittu tai poltettu muualla.

Kun allekirjoitusavain oli vaarantunut, hyökkääjä pystyi luomaan uuden kelvollisen viestin, joka osoitti hänen omaan osoitteeseensa. Yhden transaktion jälkeen muuntimen jäljellä ollut FET-varasto oli kadonnut. Fetch.ai:n alustavan selvityksen mukaan vaarantuneet tunnistetiedot jäljitettiin SingularityNETin ketjujen välisen sillan käyttämään taustapuoliseen allekirjoitusavaimeen. Myös erillinen NTX-lyöntiavain vaarantui, ja Fetch.ai:n mukaan molemmat hyökkäysreitit alkoivat samana minuuttina.

Juuri tuossa ajankohdassa tarina muuttuu yhä kummallisemmaksi. Kyseessä ei ollut vain kaksi projektia, joilla oli samanaikaisesti huono viikonloppu. Sama toimija näyttää hankkineen tunnistetiedot, joilla voitiin valtuuttaa transaktioita koko kytketyllä infrastruktuurilla, ja käyttäneen niitä lähes samanaikaisesti.

408,5 miljoonaa tokenia ilmestyi tyhjästä

NTX-puoli oli huomattavasti tuhoisampi itse tokenille. Sen sijaan, että hyökkääjä olisi tyhjentänyt rajallisen lompakon, hän sai kyvyn luoda uusia kolikoita. Noin 408,5 miljoonaa NTX:ää ilmestyi yhtäkkiä kuvioihin, mikä vastaa noin 42 % tarjonnasta.

Toisin sanoen jokaista 10:tä jo tarjonnassa ollutta NTX-kolikkoa kohti hyökkääjä oli yhtäkkiä luonut noin neljä lisää.

Tämä on valtava ongelma vähäisen kaupankäynnin kohteena olevalle tokenille. NTX:n kurssi oli ennen tapausta pysynyt lähellä 0,0013 dollaria. Markkinatiedot osoittivat sen laskevan yli 70 % ja saavuttavan 0,000328 dollarin alimman tason, kun taas myöhemmät pörssitiedot näyttivät vieläkin alhaisempia hintoja likviditeetin heikentyessä. Jotkut seurantapalvelut rekisteröivät 96–99 %:n laskuja, vaikka tarkat hinnat vaihtelivat voimakkaasti eri kauppapaikkojen välillä, koska markkinat olivat niin ohuet.

FET koki aivan toisenlaisen iskun. Sen liikkeessä oleva tarjonta ei kasvanut äkillisesti, koska hyökkääjä varasti olemassa olevan varaston muuntimelta. FET laski useissa hintalähteissä noin 5–8 %, mikä oli tuskallista mutta ei läheskään NTX:n romahdusta.

Saalis muuttui nopeasti ETH:ksi

Hyökkääjä ei jättänyt varastettuja varoja vain lojumaan. PeckShield seurasi, kuinka lompakkoryhmä vaihtoi saaliin 546,36 ETH:ksi, jonka arvo oli tuolloin noin 1,44 miljoonaa dollaria. Fetch.ai:n myöhempi tilannekuva osoitti, että yhdessä lompakossa oli edelleen noin 547,89 ETH:ta sekä noin 230 miljoonaa NTX:ää.

Tämä jäljellä oleva NTX on merkittävää, koska suuri osa vastalyödyistä kolikoista ei ilmeisesti ollut vielä myyty, kun Fetch.ai julkaisi alustavan analyysinsä. Markkinoiden piti siis kamppailla paitsi jo myytyjen kolikoiden kanssa myös satojen miljoonien kolikoiden kanssa, jotka saattoivat roikkua ohuiden tilauskirjojen varassa.

Fetch.ai ilmoitti, että tapaus ei koskenut kassavaroja, pörssilompakoita eikä käyttäjien kolikoita, joita säilytettiin itse tai pörsseissä. Tiimi aloitti yhteistyön SingularityNETin kanssa poistaakseen kyseiset lompakot ja sopimukset käytöstä sekä varoitti käyttäjiä sivuuttamaan pyytämättömät viestit ja luottamaan virallisiin kanaviin.

Puuttuva vastaus on se, miten avaimet päätyivät vääriin käsiin

Tutkijat ovat selittäneet hyökkäyksen mekanismia paljon paremmin kuin sen alkuperää. SlowMist kuvasi yksityiskohtaisesti, kuinka FET-muunnin hyväksyi vaarantuneen allekirjoituksen, kun taas Fetch.ai tunnisti asiaan liittyvän SingularityNET-sillan allekirjoittajan ja NTX-lyöntiavaimen. Sitä, miten nämä tunnistetiedot vaarantuivat alun perin, kukaan ei ole vielä julkisesti selvittänyt.

Vielä ei ole vahvistettua julkista vastausta siihen, johtuiko avainten joutuminen hyökkääjän käsiin tietojenkalastelusta, palvelinmurroksesta, vuotaneesta varmuuskopiosta vai jostakin muusta. Lisäksi on vielä selvitettävänä satojen miljoonien vasta lyötyjen NTX-kolikoiden kohtalo sekä kysymys siitä, voivatko pörssit jäädyttää merkityt varat tai voidaanko ylimääräinen tarjonta jotenkin neutraloida.

Lohkoketju toimi täsmälleen niin kuin pätevät allekirjoitukset sille käskivät. Se saattaa olla koko tapauksen omituisin osa. FET taipui. NTX murtui.