Eén aanvaller richt zich op twee cryptoprojecten en gaat er vandoor met 2 miljoen dollar

Eén aanvaller, twee cryptoprojecten en 2 miljoen dollar verdwenen

In de late uren van zaterdag op zondag slaagde iemand die in het bezit was van de juiste cryptografische sleutels erin om bijna gelijktijdig twee cryptoprojecten te treffen, waardoor wat op het eerste gezicht op losstaande aanvallen leek, uitmondde in één zeer vreemde rooftocht van $2 miljoen. Aan de kant van Fetch.ai verdween 8.721.530 FET, ter waarde van ongeveer 1,55 miljoen dollar, uit een tokenconverter. Aan de andere kant stal de aanvaller niet alleen munten die al ergens lagen.

Hij creëerde ongeveer 408,5 miljoen nieuwe NTX, die op dat moment ongeveer 452.000 tot 463.000 dollar waard waren. Die uitgifte vertegenwoordigde ongeveer 42% van het totale aanbod van NTX. Peckshield, Blockaid en Fetch.ai konden de activiteit uiteindelijk koppelen aan hetzelfde walletcluster.

Eén handtekening opende de FET-kluis

De meest recente FET-diefstal was geen geval waarbij iemand een slimme wiskundige fout ontdekte en een smart contract misbruikte. Het TokenConversionManagerV3-contract van Fetch.ai accepteerde een geldige handtekening voor conversie-autorisatie via de functie conversionIn(). Het probleem was dat deze handtekening in feite de poortwachter was. In tegenstelling tot conversionOut() voerde de functie de modifier checkLimits(amount) niet uit, noch controleerde deze on-chain of de bijbehorende tokens elders waren vergrendeld of vernietigd.

Zodra de ondertekeningssleutel was gecompromitteerd, kon de aanvaller een nieuw, geldig bericht aanmaken dat naar zijn eigen adres verwees. Eén transactie later was de resterende FET-voorraad van de converter verdwenen. Uit het voorlopige onderzoek van Fetch.ai bleek dat de gecompromitteerde inloggegevens afkomstig waren van een backend-ondertekeningssleutel die werd gebruikt door de cross-chain bridge van SingularityNET. Ook een afzonderlijke NTX-mijnsleutel was gecompromitteerd, waarbij Fetch.ai aangaf dat beide aanvalspaden in dezelfde minuut begonnen.

Op dat moment wordt het verhaal nog vreemder. Dit waren niet zomaar twee projecten die tegelijkertijd een slecht weekend hadden. Dezelfde aanvaller lijkt inloggegevens te hebben verkregen waarmee transacties over de gehele verbonden infrastructuur konden worden geautoriseerd, en heeft deze vervolgens vrijwel gelijktijdig gebruikt.

408,5 miljoen tokens verschenen uit het niets

De NTX-kant was aanzienlijk schadelijker voor het token zelf. In plaats van een beperkte wallet leeg te halen, kreeg de aanvaller de mogelijkheid om nieuwe munten te creëren. Ongeveer 408,5 miljoen NTX kwamen plotseling in omloop, wat overeenkomt met ongeveer 42% van de voorraad.

Anders gezegd: voor elke 10 NTX die al in de voorraad aanwezig waren, had de aanvaller plotseling het equivalent van ongeveer vier extra gecreëerd.

Dat is een enorm probleem voor een token met een geringe handelsvolume. De NTX-koers schommelde vóór het incident rond de 0,0013 dollar. Uit marktgegevens bleek dat deze met meer dan 70% daalde en een dieptepunt van $0,000328 bereikte, terwijl latere feeds nog lagere prijzen lieten zien naarmate de liquiditeit verslechterde. Sommige trackers registreerden dalingen van 96% tot 99%, hoewel de exacte prijzen sterk varieerden tussen de verschillende handelsplatforms omdat de markt zo dun was.

FET kreeg een heel andere klap te verduren. Het circulerende aanbod nam niet plotseling enorm toe, omdat de aanvaller bestaande voorraad van een converter had gestolen. FET daalde in verschillende feeds met ongeveer 5% tot 8%, wat pijnlijk was maar bij lange na niet zo ernstig als de ineenstorting van NTX.

De buit werd al snel omgezet in ETH

De aanvaller liet de gestolen activa niet zomaar rondslingeren. PeckShield volgde hoe de walletcluster de opbrengsten omzette in 546,36 ETH, destijds ter waarde van ongeveer 1,44 miljoen dollar. Uit een latere momentopname van Fetch.ai bleek dat er nog ongeveer 547,89 ETH en ongeveer 230 miljoen NTX in één wallet zat.

Die resterende NTX is van belang omdat een groot deel van de nieuw geslagen voorraad blijkbaar nog niet was verkocht toen Fetch.ai zijn eerste analyse publiceerde. De markt kreeg daarom niet alleen te maken met munten die al waren gedumpt, maar ook met honderden miljoenen extra die mogelijk boven dunne orderboeken hingen.

Fetch.ai verklaarde dat kasmiddelen, beurswallets en munten van gebruikers die in eigen beheer of op beurzen werden bewaard, niet waren getroffen. Het team begon samen te werken met SingularityNET om de getroffen wallets en contracten uit te schakelen, terwijl gebruikers werden gewaarschuwd om ongevraagde berichten te negeren en te vertrouwen op officiële kanalen.

Het ontbrekende antwoord is hoe de sleutels zijn uitgelekt

Onderzoekers hebben de werking van de aanval veel beter uitgelegd dan de oorzaak ervan. SlowMist beschreef in detail hoe de FET-converter de gecompromitteerde handtekening accepteerde, terwijl Fetch.ai de betrokken SingularityNET-bridge-ondertekenaar en NTX-munt-sleutel identificeerde. Wat nog niemand publiekelijk heeft vastgesteld, is hoe die inloggegevens in de eerste plaats zijn gecompromitteerd.

Er is nog geen bevestigd openbaar antwoord dat aantoont of phishing, een serverinbraak, een gelekte back-up of iets anders ervoor heeft gezorgd dat de sleutels in handen van de aanvaller zijn gekomen. Er zijn ook nog honderden miljoenen nieuw geslagen NTX die moeten worden verrekend, samen met de vraag of beurzen gemarkeerde fondsen kunnen bevriezen of dat het extra aanbod op de een of andere manier kan worden geneutraliseerd.

De blockchain deed precies wat de geldige handtekeningen haar opdroegen. Dat is misschien wel het vreemdste aspect van de hele affaire. FET boog. NTX brak.