En angripare slår till mot två kryptoprojekt och går därifrån med 2 miljoner dollar

En angripare, två kryptoprojekt och 2 miljoner dollar borta

Sent på lördagen och in på söndagen lyckades någon som hade rätt kryptografiska nycklar slå till mot två kryptoprojekt nästan samtidigt, vilket förvandlade vad som kunde ha sett ut som oberoende angrepp till ett mycket märkligt rån på 2 miljoner dollar. På Fetch.ai-sidan försvann 8 721 530 FET, värda ungefär 1,55 miljoner dollar, från en tokenkonverterare. Å andra sidan nöjde sig angriparen inte med att bara stjäla mynt som redan fanns någonstans.

De skapade cirka 408,5 miljoner nya NTX, värda ungefär 452 000 till 463 000 dollar vid den tidpunkten. Denna utgivning utgjorde cirka 42 % av NTX:s utbud. Peckshield, Blockaid och Fetch.ai kunde slutligen koppla aktiviteten till samma plånbokskluster.

En signatur öppnade FET-valvet

Den senaste FET-stölden handlade inte om att någon upptäckte en smart matematisk brist och utnyttjade ett smart kontrakt. Fetch.ai:s kontrakt TokenConversionManagerV3 accepterade en giltig signatur för konverteringsgodkännande via sin funktion conversionIn(). Problemet var att denna signatur i praktiken fungerade som portvakt. Till skillnad från conversionOut() körde funktionen inte modifieraren checkLimits(amount), och den verifierade inte heller på kedjan att motsvarande tokens hade låsts eller bränts någon annanstans.

Så snart signeringsnyckeln hade komprometterats kunde angriparen skapa ett nytt giltigt meddelande som pekade mot sin egen adress. En transaktion senare var konverterarens återstående FET-lager borta. Fetch.ai:s preliminära granskning spårade den komprometterade inloggningsinformationen till en signeringsnyckel i backend som användes av SingularityNET:s kedjeöverskridande brygga. En separat NTX-präglingnyckel komprometterades också, och Fetch.ai uppgav att båda attackvägarna inleddes inom loppet av samma minut.

Det är just där tidsförloppet gör historien ännu märkligare. Det handlade inte bara om två projekt som råkade ha en dålig helg samtidigt. Samma aktör verkar ha kommit över inloggningsuppgifter som gjorde det möjligt att godkänna transaktioner över den anslutna infrastrukturen, och använde dem sedan nästan samtidigt.

408,5 miljoner tokens uppstod ur tomma intet

NTX-sidan var betydligt mer destruktiv för själva token. Istället för att tömma en begränsad plånbok fick angriparen förmågan att skapa nya mynt. Cirka 408,5 miljoner NTX dök plötsligt upp, vilket motsvarar ungefär 42 % av utbudet.

Med andra ord: för varje 10 NTX som redan fanns i utbudet hade angriparen plötsligt skapat motsvarande ungefär fyra till.

Det är ett allvarligt problem för en token med låg omsättning. NTX-kursen hade legat nära 0,0013 dollar före incidenten. Marknadsdata visade att den föll med mer än 70 % och nådde en lägsta nivå på 0,000328 dollar, medan senare uppdateringar visade ännu lägre priser i takt med att likviditeten försämrades. Vissa spårare registrerade nedgångar på 96 % till 99 %, även om de exakta priserna varierade kraftigt mellan olika handelsplatser eftersom marknaden var så tunn.

FET drabbades på ett helt annat sätt. Det cirkulerande utbudet svällde inte plötsligt eftersom angriparen stal befintliga tillgångar från en konverterare. FET föll med ungefär 5–8 % enligt flera källor, vilket var smärtsamt men inte i närheten av NTX:s kollaps.

Byten förvandlades snabbt till ETH

Angriparen lät inte de stulna tillgångarna bara ligga kvar. PeckShield spårade plånboksgruppen när den bytte ut intäkterna mot 546,36 ETH, värda ungefär 1,44 miljoner dollar vid den tidpunkten. Fetch.ai:s senare ögonblicksbild visade cirka 547,89 ETH tillsammans med ungefär 230 miljoner NTX som fortfarande fanns kvar i en plånbok.

Den kvarvarande NTX-mängden är viktig eftersom en stor del av det nypräglade utbudet uppenbarligen inte hade sålts när Fetch.ai publicerade sin första analys. Marknaden tvingades därför hantera inte bara de mynt som redan hade dumpats, utan även ytterligare hundratals miljoner som potentiellt hängde över tunna orderböcker.

Fetch.ai uppgav att kassamedel, börsplånböcker och användarnas mynt som förvarades i egen förvaring eller på börser inte påverkades. Teamet inledde ett samarbete med SingularityNET för att inaktivera de drabbade plånböckerna och kontrakten, samtidigt som man varnade användarna att ignorera oönskade meddelanden och förlita sig på officiella kanaler.

Det saknade svaret är hur nycklarna läckte ut

Utredarna har förklarat hur attacken gick till betydligt bättre än dess ursprung. SlowMist redogjorde i detalj för hur FET-konverteraren accepterade den komprometterade signaturen, medan Fetch.ai identifierade den inblandade signatören för SingularityNET-bron och nyckeln för NTX-prägling. Vad ingen ännu offentligt har fastställt är hur dessa inloggningsuppgifter komprometterades från början.

Det finns ännu inget bekräftat offentligt svar som visar om det var nätfiske, ett serverintrång, en läckt säkerhetskopia eller något annat som gjorde att nycklarna hamnade i angriparens händer. Det finns också hundratals miljoner nypräglade NTX som fortfarande saknas, tillsammans med frågan om huruvida börserna kan frysa märkta medel eller om det extra utbudet på något sätt kan neutraliseras.

Blockkedjan gjorde exakt vad de giltiga signaturerna sa åt den att göra. Det är kanske det märkligaste med hela händelsen. FET böjde sig. NTX gick sönder.