Fetch.ai i NuNet zaatakowane przez tego samego hakera. Straty blisko 2 mln USD

Jak podaje CoinMarketCap, firmy zajmujące się bezpieczeństwem blockchaina Blockaid i PeckShield poinformowały, że 19 września ten sam napastnik uderzył w dwa projekty krypto związane z AI: Fetch.ai oraz NuNet. Łączna wartość środków objętych incydentami wynosiła w momencie ataków ok. 2 mln USD, po czym notowania powiązanych tokenów wyraźnie spadły. W przypadku Fetch.ai doszło do transferu tokenów FET z kontraktu. Z ujawnionych przez Blockaid informacji wynika, że atakujący najpierw przeniósł ok. 8,7 mln FET o wartości ok. 1,53 mln USD z kontraktu swapu tokenów na Fetch.ai. Badacze zwrócili uwagę, że adres portfela, który otrzymał te środki, pojawił się później również w zdarzeniu dotyczącym NuNet. To kluczowy element łączący oba ataki. Blockaid opublikował także adresy portfeli użytych przez napastników oraz przykładową transakcję, aby ułatwić innym projektom i giełdom identyfikację i przechwytywanie powiązanych przepływów środków. W NuNet odnotowano nietypową emisję (mint) 408,5 mln NTX. W drugim incydencie atakujący wyemitował ok. 408,5 mln nieautoryzowanych tokenów NTX za pośrednictwem konta deployera NuNet. Według ceny przytoczonej w raporcie miało to wartość ok. 463 tys. USD. Zespół badawczy wskazał, że ta anomaliczna emisja została wysłana na ten sam portfel co skradzione FET, co ponownie wskazuje na jednego sprawcę. Tego typu zdarzenia zwykle sugerują luki w kontroli uprawnień kontraktów lub w zarządzaniu kluczowymi kontami. W przypadku wykorzystania uprawnień deployera lub mechanizmów aktualizacji kontraktu atakujący może nie tylko przenosić istniejące aktywa, ale też bezpośrednio tworzyć nową podaż tokenów. Szczególną uwagę zwraca też kierunek przepływu 546 ETH. Po ataku napastnik szybko zamienił znaczną część środków na 546 ETH, wartych ok. 1,44 mln USD. Badacze podkreślają, że to częsta praktyka po incydentach, ponieważ utrudnia śledzenie i ewentualne zamrożenie środków. W reakcji na informacje NTX NuNet spadł o ok. 65%–70%, a FET Fetch.ai obniżył się o ok. 10%. Na moment publikacji ani Fetch.ai, ani NuNet nie wydały oficjalnego komunikatu. Podsumowanie danych z raportu: przeniesione FET: ok. 8,7 mln; nieautoryzowanie wyemitowane NTX: ok. 408,5 mln; środki otrzymane przez atakującego: 546 ETH. Raport wskazuje, że incydent uwidacznia typowe ryzyko w projektach krypto związanych z AI i obliczeniami: jeśli konto deployera lub kontrakt konwersji tokenów zostanie przejęty, straty mogą kaskadowo rozlać się na wiele projektów.