Atakujący opróżnili komponent oficjalnego mostu SingularityNET łączącego Ethereum i Cardano po stronie Ethereum z całej płynności FET wieczorem 19 września 2026 r., po tym jak skompromitowany klucz podpisujący poza łańcuchem autoryzował transfer — według analizy on-chain. Łączne straty we wszystkich dotkniętych tokenach osiągnęły od tego czasu około 16,77 mln USD.

Zaatakowany kontrakt, TokenConversionManagerV3, wypłacił 8 721 530 FET — około 1,55 mln USD — na portfel kontrolowany przez atakującego w ramach pojedynczego wywołania funkcji conversionIn. Transakcja została autoryzowana ważnym podpisem kryptograficznym od samego autoryzatora konwersji mostu — klucza offline z nonce zero, istniejącego wyłącznie do podpisywania zatwierdzeń backendowych — co wskazuje, że kompromitacja nastąpiła w przechowywaniu klucza lub usłudze podpisującej, a nie w kodzie kontraktu.

FET to główny token Artificial Superintelligence Alliance (ASI), powstałej w 2024 r. z połą Fetch.ai, SingularityNET i Ocean Protocol.

Projekt kontraktu spotęgował szkody

Sam projekt zweryfikowanego kontraktu powiększył stratę. Śledczy zidentyfikowali dwa słabości, które pozwoliły, by jedna podpisana wiadomość spowodowała całkowite opróżnienie. Po pierwsze, conversionIn nie narzuca limitu na pojedynczą konwersję: wypłata 8,72 mln FET była 8,7 razy większa od skonfigurowanego maksimum, które obowiązuje tylko w kierunku conversionOut. Po drugie, podpisany digest wiąże wywołującego, kwotę i identyfikator konwersji — ale nie odbiorcę — co oznacza, że każdy ważny podpis może skierować wypłatę na dowolny adres.

Śledczym wskazali również, że identyfikator konwersji użyty podczas opróżnienia był anomalnymi surowymi bajtami, w przeciwieństwie do identyfikatorów w stylu UUID związanych ze wszystkimi 100 wcześniejszymi legalnymi konwersjami.

Wybicie NTX z NuNet kilka minut później

Dwadzieścia dziewięć minut po opróżnieniu FET ten sam portfel odbiorczy otrzymał 408,5 mln świeżo wybitych NTX — około 42% całkowitej podaży NuNet — z klucza wybijającego, który był uśpiony od marca 2023 r. i został zasilony gazem chwilę wcześniej przez osobny portfel. Analiza śledcza pokazuje, że obie operacje zostały wypróbowane z wyprzedzeniem: wcześniej przygotowane NTX były już sprzedawane przez router wymiany MetaMask, zanim wykonano opróżnienie FET.

NTX spadły o około 65%, gdy atakujący pozbył się ponad połowy wybitych tokenów, a płynność on-chain była na tyle niska, że rzeczywista wartość możliwa do wydobycia wyniosła około 547,9 ETH, czyli około 1,44 mln USD.

Atak rozszerza się na AGIX i WMTx, a klucze pozostają aktywne

Ten sam sprawca następnie wybił 260 mln AGIX i 53,8 mln WMTx na Ethereum, według monitoringu PeckShield, zwiększając posiadane aktywa do około 16,77 mln USD — w tym 198,3 mln AGIX o wartości około 14,42 mln USD, 649 ETH oraz 33,5 mln WMTx. AGIX to starszy token SingularityNET o wyjątkowo niskiej płynności po fuzji ASI Alliance z 2024 r., która uczyniła FET głównym tokenem, natomiast WMTx od World Mobile najwyraźniej został dotknięty poprzez współdzielone uprawnienia cross-chain SingularityNET.

#PeckShieldAlert The same exploiter has exploited @SingularityNET , resulting in the unauthorised minting of 260M $AGIX \u0026 53.838M $WMTx on Ethereum. The exploiter currently holds ~$16.77M worth of crypto, including 198.3M AGIX (worth $14.42M), 649 $ETH (worth ~$1.67M), and… pic.twitter.com/oHBpbWXQMj — PeckShieldAlert (@PeckShieldAlert) September 20, 2026

Zespoły potwierdzają incydent i wstrzymują konwersje

Zarówno Fetch.ai, jak i SingularityNET potwierdziły, że znają incydent. Fetch.ai oświadczyło, że jego własne kontrakty nie zostały naruszone, a atak wymierza w infrastrukturę SingularityNET, podczas gdy SingularityNET zauważyło, że portfele skarbca i giełdowe nie zostały objęte incydentem i że posiadacze nie muszą podejmować żadnych działań.

Oba zespoły jako środek ostrożności wstrzymały konwersje AGIX na FET oraz kontrakt mostu Ethereum, dezaktywowały dotknięte portfele i kontrakty oraz opublikowały wstępną analizę on-chain śledzącą atak od skompromitowanego klucza podpisującego po portfele sprawcy służące do wypłaty środków.

We are aware of an exploit involving the FET token migration and bridge architecture, as well as other tokens within this infrastructure. Our team responded immediately and is working with security partners. An unauthorized party withdrew approximately $1.56M in FET from the… — Artificial Superintelligence Alliance (@ASI_Alliance) September 20, 2026

Following reports of an exploit on 19 September, here is where things stand. \u003e contracts are not affected. No contract is under threat at this time, and FET continues to operate normally. \u003e The attack is targeting SingularityNET… — Fetch.ai (@Fetch_ai) September 20, 2026

Nadal istnieją krytyczne braki w naprawie

Według najnowszej aktualizacji monitoringu skompromitowany autoryzator konwersji nie został zmieniony, a skradziona rola wybijającego NuNet nie została unieważniona — co oznacza, że oba klucze nadal mogą podpisywać kolejne konwersje i wybijać dodatkową podaż. Analitycy ostrzegają, że ponowne zasilanie opróżnionego kontraktu mostu przed zmianą autoryzatora po prostu uzbroi ten sam atak wobec nowych środków.

Źródło: Metaverse Post