По данным анализа блокчейна, вечером 19 сентября 2026 года злоумышленники вывели всю ликвидность в FET из компонента на стороне Ethereum официального моста SingularityNET, соединяющего Ethereum и Cardano, после того как скомпрометированный офчейн-ключ подписания авторизовал транзакцию. Общие потери по затронутым токенам с тех пор достигли примерно $16,77 млн.

Целевой контракт, TokenConversionManagerV3, в рамках одного вызова функции conversionIn выплатил 8 721 530 FET — около $1,55 млн — на кошелек под контролем злоумышленника. Транзакция была авторизована действительной криптографической подписью от собственного конверсионного авторизатора моста — офлайн-ключа с nonce, равным нулю, который существует исключительно для подписания бэкенд-одобрений, — что указывает на то, что компрометация произошла в хранении ключей или сервисе подписания, а не в коде контракта.

FET — основной токен Альянса искусственного суперразума (ASI), образованного в 2024 году в результате слияния Fetch.ai, SingularityNET и Ocean Protocol.

Конструкция контракта усугубила ущерб

Сама конструкция верифицированного контракта увеличила потери. Исследователи выявили две уязвимости, которые позволили одному подписанному сообщению привести к полному опустошению. Во-первых, conversionIn не устанавливает лимита на одну конвертацию: выплата в 8,72 млн FET превысила настроенный максимум в 8,7 раза, причем лимит применяется только к направлению conversionOut. Во-вторых, подписанный дайджест связывает вызывающую сторону, сумму и идентификатор конвертации — но не получателя, — то есть любая действительная подпись может направить выплату на любой адрес.

Исследователи также отметили, что идентификатор конвертации, использованный при выводе средств, представляет собой аномальные необработанные байты, в отличие от идентификаторов в формате UUID связанных со всеми 100 предыдущими легитимными конвертациями.

Выпуск NuNTX следует через считанные минуты

Через двадцать девять минут после вывода FET тот же принимающий кошелек получил 408,5 млн только что выпущенных NTX — примерно 42% от общего объема предложения NuNet — от ключа майнера, бездействовавшего с марта 2023 года и пополненного газом незадолго до этого отдельным кошельком. Форензика показывает, что обе операции были отрепетированы заранее: заранее размещенные NTX уже продавались через роутер обмена MetaMask до того, как был выполнен вывод FET.

NTX упал примерно на 65%, когда злоумышленник сбросил более половины выпуска, а низкая ликвидность в блокчейне означала, что фактически извлекаемая стоимость составила около 547,9 ETH, то есть примерно $1,44 млн.

Атака распространяется на AGIX и WMTx, пока ключи остаются активными

Затем тот же злоумышленник выпустил на Ethereum 260 млн AGIX и 53,8 млн WMTx, согласно данным мониторинга PeckShield, увеличив общие активы примерно до $16,77 млн, включая 198,3 млн AGIX на сумму около $14,42 млн, 649 ETH и 33,5 млн WMTx. AGIX — устаревший токен SingularityNET с крайне низкой ликвидностью после слияния ASI Alliance 2024 года, сделавшего FET основным токеном, при этом WMTx от World Mobile, судя по всему, был затронут через общие кроссчейн-разрешения SingularityNET.

#PeckShieldAlert The same exploiter has exploited @SingularityNET , resulting in the unauthorised minting of 260M $AGIX \u0026 53.838M $WMTx on Ethereum. The exploiter currently holds ~$16.77M worth of crypto, including 198.3M AGIX (worth $14.42M), 649 $ETH (worth ~$1.67M), and… pic.twitter.com/oHBpbWXQMj — PeckShieldAlert (@PeckShieldAlert) September 20, 2026

Команды подтверждают инцидент и приостанавливают конвертации

Fetch.ai и SingularityNET подтвердили, что знают об инциденте. Fetch.ai заявил, что его собственные контракты не затронуты, а атака направлена на инфраструктуру SingularityNET, в то время как SingularityNET отметил, что казначейские и биржевые кошельки не пострадали и держателям не нужно предпринимать никаких действий.

Обе команды в качестве меры предосторожности приостановили конвертации AGIX в FET и контракт моста Ethereum, деактивировали затронутые кошельки и контракты, а также опубликовали предварительный анализ блокчейна, прослеживающий атаку от скомпрометированного ключа подписания до кошельков злоумышленника для вывода средств.

We are aware of an exploit involving the FET token migration and bridge architecture, as well as other tokens within this infrastructure. Our team responded immediately and is working with security partners. An unauthorized party withdrew approximately $1.56M in FET from the… — Artificial Superintelligence Alliance (@ASI_Alliance) September 20, 2026

Following reports of an exploit 19 September, here is where things stand. \u003e contracts are not affected. No contract is under threat at this time, and FET continues to operate normally. \u003e The attack is targeting SingularityNET… — Fetch.ai (@Fetch_ai) September 20, 2026

Критические пробелы в устранении последствий остаются

По состоянию на последнее обновление мониторинга скомпрометированный конверсионный авторизатор не был заменен, а украденная роль майнера NuNet не была отозвана, то есть оба ключа по-прежнему могут подписывать новые конвертации и выпускать дополнительное предложение. Аналитики предупреждают, что пополнение опустошенного контракта моста до замены авторизатора просто повторно активирует ту же атаку против новых средств.

Источник: Metaverse Post