根据链上分析，2026 年 9 月 19 日晚，一名链下签名密钥遭泄露的攻击者授权转账，将 SingularityNET 连接以太坊与 Cardano 的官方跨链桥的以太坊侧组件中的全部 FET 流动性抽空。受影响代币的总损失此后约达 1677 万美元。

遭到攻击的合约 TokenConversionManagerV3 在对其 conversionIn 函数的一次调用中，向攻击者控制的钱包支付了 8,721,530 枚 FET（约 155 万美元）。该交易由跨链桥自身的转换授权方签署的有效加密签名授权，该授权方是一个 nonce 为零的离线密钥，仅用于签署后端审批，这表明泄露发生在密钥保管环节或签名服务中，而非合约代码层面。

FET 是人工超级智能联盟（ASI）的主代币，该联盟于 2024 年由 Fetch.ai、SingularityNET 和 Ocean Protocol 合并而成。

合约设计放大了损失

经验证的合约自身设计加剧了损失。调查人员发现了两个允许单条签名消息造成全部资金抽走的缺陷。首先，conversionIn 没有单次转换限额：872 万枚 FET 的支出是配置上限的 8.7 倍，而该上限仅适用于 conversionOut 方向。其次，签名摘要绑定了调用方、金额和转换 ID，但未绑定收款方，这意味着任何有效签名都可以将款项支付到任意地址。

调查人员还指出，此次抽款所使用的转换 ID 是异常的原始字节，与此前全部 100 次合法转换所使用的 UUID 风格标识符截然不同。

数分钟后 NuNet 遭遇增发

FET 被抽走 29 分钟后，同一收款钱包收到了 4.08 亿枚新铸造的 NTX，约占 NuNet 总供应量的 42%，这些代币来自一个自 2023 年 3 月起一直处于休眠状态的铸币密钥，且该密钥在片刻之前由另一个钱包提供了 gas 费用。取证显示，这两项操作均经过预先演练：在 FET 抽款执行之前，预先部署的 NTX 已经通过 MetaMask 的兑换路由开始出售。

随着攻击者抛售超过一半的增发代币，NTX 价格下跌约 65%；由于链上流动性薄弱，实际可提取价值约为 547.9 ETH（约 144 万美元）。

攻击扩展至 AGIX 和 WMTx，响应期间密钥仍然有效

根据 PeckShield 的监测，同一攻击者随后在以太坊上铸造了 2.6 亿枚 AGIX 和 5380 万枚 WMTx，使其总持仓扩大至约 1677 万美元，其中包括价值约 1442 万美元的 1.983 亿枚 AGIX、649 枚 ETH 和 3350 万枚 WMTx。AGIX 是 SingularityNET 的旧版代币，在 2024 年 ASI 联盟合并使 FET 成为主代币后流动性极为薄弱；而 World Mobile 的 WMTx 似乎是通过共享的 SingularityNET 跨链权限受到影响。

#PeckShieldAlert The same exploiter has exploited @SingularityNET , resulting in the unauthorised minting of 260M $AGIX \u0026 53.838M $WMTx on Ethereum. The exploiter currently holds ~$16.77M worth of crypto, including 198.3M AGIX (worth $14.42M), 649 $ETH (worth ~$1.67M), and… pic.twitter.com/oHBpbWXQMj — PeckShieldAlert (@PeckShieldAlert) September 20, 2026

各团队确认事件并暂停转换

Fetch.ai 和 SingularityNET 均确认已知晓此次事件。Fetch.ai 表示其自身合约未受影响，此次攻击针对的是 SingularityNET 的基础设施；SingularityNET 则指出，金库和交易所钱包未受影响，持币者无需采取任何行动。

作为预防措施，两个团队均已暂停 AGIX 至 FET 的转换以及以太坊跨链桥合约，停用了受影响的钱包和合约，并发布了初步链上分析，追踪从遭泄露的签名密钥到攻击者提现钱包的攻击路径。

We are aware of an exploit involving the FET token migration and bridge architecture, as well as other tokens within this infrastructure. Our team responded immediately and is working with security partners. An unauthorized party withdrew approximately $1.56M in FET from the… — Artificial Superintelligence Alliance (@ASI_Alliance) September 20, 2026

Following reports of an exploit on 19 September, here is where things stand. \u003e contracts are not affected. No contract is under threat at this time, and FET continues to operate normally. \u003e The attack is targeting SingularityNET… — Fetch.ai (@Fetch_ai) September 20, 2026

关键补救缺口仍然存在

根据最新的跟踪更新，遭泄露的转换授权方尚未轮换，被盗的 NuNet 铸币角色也未被撤销，这意味着这两个密钥仍可签署更多转换并增发额外供应。分析师警告称，若在轮换授权方之前向被抽空的跨链桥合约重新注，只会让同样的攻击再次针对新资金得手。

来源：Metaverse Post