Fetch.ai 已將一起跨代幣安全事件追查至一組外洩的簽署金鑰，此一更新使最初被通報為約 200 萬美元 FET 竊案的事件範圍大幅擴大。根據該項目的初步鏈上分析，目前一名單一攻擊者被連結到約 870 萬枚 FET 被轉出、近 4.09 億枚 NTX 遭未經授權鑄造，以及 AGIX 與 WMTX 進一步的未經授權鑄造。調查尚未得出最終結論。

從單一合約被掏空到更廣泛的金鑰入侵

最初的報告集中在約 870 萬枚 FET，價值約 150 萬美元，被從 Ethereum 上的 Fetch.ai TokenConversionManagerV3 合約轉出。安全公司 Blockaid 表示，攻擊者出示了一個有效的轉換授權者簽名，使該合約釋出其剩餘的 FET 餘額。Fetch.ai 隨後發布初步鏈上分析，將攻擊路徑追查至一組外洩的簽署金鑰。

An on-chain analysis of the exploit is now available on ASI:One. It traces the attack from the compromised signing key to the attacker's cash-out wallets. This is not the final analysis. Read the report: Together with @SingularityNET , we have deactivated… — Fetch.ai (@Fetch_ai) September 20, 2026

該項目表示，已與 SingularityNET 合作停用受影響的錢包與合約。它同時提醒，該分析屬於初步性質，調查仍在進行中。SingularityNET 的參與凸顯了此事件的跨項目影響範圍：NTX 是 NuNet 的代幣，而 AGIX 是與 SingularityNET 相關的代幣，因此事件波及的不僅是 FET 持有者，而是多個代幣社群。

同一錢包，多種代幣

接收 FET 的錢包後來被連結到透過 NuNet 部署者帳戶鑄造約 4.09 億枚 NTX 的行為。這些代幣在發行時價值接近 46 萬美元。

當 PeckShield 通報該錢包還與約 2.6 億枚 AGIX 和 5,400 萬枚 WMTX 的未經授權鑄造有關時，事件範圍再次擴大。當這家安全調查結果發布時，攻擊者的持有資產價值接近 1,700 萬美元。

共享錢包正是研究人員將這些交易歸因於同一名攻擊者的原因。目前尚無法確定是一組外洩金鑰取得了所有受影響合約的存取權，還是多組憑證遭到入侵。

目前已確認的事件：

• **FET 被轉出：**約 870 萬枚 FET。既有代幣從一個轉換合約中被釋出。
• **NTX 被鑄造：**約 4.09 億枚 NTX。據報導，這些代幣未經授權即被發行。
• **新發現：**通報了 AGIX 與 WMTX 的鑄造。PeckShield 將進一步的代幣鑄造與該攻擊者連結起來。

美元總額掩蓋了兩種不同性質的損害

FET 與 NTX 事件對持有者的影響方式並不相同。

FET 交易轉出的是本已存在的代幣。這造成了已知的損失，並讓攻擊者取得可出售的資產，但並未直接增加 FET 代幣的總數量。

相較之下，被通報的 NTX 交易觸及了代幣的發行流程。部署者帳戶並非將餘額從一個錢包轉移到另一個錢包，而是顯然在預期分配計畫之外鑄造了代幣。

CoinGecko 列出的 NTX 最大供應量為 10 億枚。因此，被通報的未經授權鑄造量約等於該數額的 41%。這並不代表每一枚未經授權的代幣都進入了流通。數據提供者也可能排除 Nu 後來透過合約遷移作廢、銷毀或取代的代幣。這一比較顯示，為何在項目進一步澄清之前，交易者無法再依賴所顯示的供應量數據。

後來的 AGIX 與 WMTX 發現使這一區別更加重要。核心問題已不再是從單一合約轉出了多少資產，而是遭入侵的權限在多廣的範圍內可用於鑄造或釋出資產。

為何 NTX 的跌幅遠大於 FET

事件曝光後，NTX 大跌約 70%，並在 9 月 20 日創下歷史新低。FET 的跌幅則小得多，而整體加密貨幣市場當時也走低。未經授權鑄造的時點與規模為這一差異提供了合理的解釋，但並不能證明該事件造成了 NTX 跌幅的每一部分。

**相對於供應量而言，被通報的鑄造量很大。**鑄造約等於聲明最大供應量 41% 的數額，立即引發了稀釋疑慮。交易者也缺乏明確資訊，無法得知有多少代幣可能抵達交易所或去中心化流動性池。

**NTX 市場深度不足。**查核時，CoinGecko 顯示 NTX 的滾動 24 小時交易量不足 5 萬美元。未經授權的代幣在鑄造時價值接近 46 萬美元，使被通報的鑄造量約為該代幣近期日成交量的十倍。這一比較並未衡量攻擊者實際出售了多少。它說明的是可用的市場深度：當附近等候的買家相對稀少時，即使只出售此類持倉的一小部分，也可能使價格劇烈波動。

**市場無法立即確認鑄造已經停止。**被竊取的餘額有其可衡量的上限。而暴露的鑄造權限則造成更開放式的風險，因為持有者需要證據顯示該權限已被撤銷，才能排除進一步發行的可能。

為何這一區別很重要

FET 持有者可以看到有多少代幣離開了轉換合約。NTX 持有者則還必須質疑，已公布的供應量是否仍能描述可能存在的代幣總量。

有效的簽名仍可能授權攻擊

智慧型合約可以驗證簽名來自經核准的金鑰，但無法判斷合法擁有者是否有意進行該交易。一旦簽署金鑰遭入侵，攻擊者的指令在合約看來可能仍是有效的。

這就是為什麼僅將此事件描述為智慧型合約漏洞利用並不完整。控制提款功能的程式碼與授權提款的金鑰安全構成同一系統，任何一部分失效都可能使資產暴露於風險之中。

SlowMist 指出，Fetch.ai 的入金轉換功能依賴單一外部帳戶（EOA）簽名，且缺乏另一個轉換功能中所具備的部分額外限制。Fetch.ai 的最終報告將需要釐清該設計與外洩金鑰之間的互動。此一事件也推動了業界關於營運金鑰管理的更廣泛討論，其中多重簽名核准與硬體保護金鑰儲存等防護措施，是限制任何單一憑證可授權範圍的常見工具。

區塊鏈透明度有助於研究人員追蹤後續交易，但無法防止經核准的憑證遭濫用。類似的局限性也出現在 Polymarket 被通報的 1,000 萬美元詐欺未遂事件中：公開紀錄可以揭露指令被接受之後發生了什麼，而更困難的安全問題則是決定誰應被允許發出該指令。

停用合約能控制風險，但無法解決問題

Fetch.ai 停用受影響錢包與合約的決定是重要的風險遏制步驟。持有者仍需要一份最終說明，釐清哪些權限曾暴露，以及受影響的代幣將如何處理。對於追蹤後續發展的讀者而言，值得關注的指標是完整的鏈上分析——已發布的報告明確屬於初步性質——以及 NuNet 對未經授權 NTX 是否將被作廢、銷毀或透過合約遷移取代的任何澄清。

權限問題現已比最初的損失估計更重要

事件最初被描述為一起涉及約 200 萬美元的攻擊。後續的發現使這一數字難以衡量其潛在影響範圍。更重要的邊界在於外洩憑證所提供的授權範圍。

Fetch.ai 與相關項目將需要證明受影響的權限已被移除，且未經授權的代幣無法繼續透過公認的合約流動。在該證據出現之前，代幣價格所反映的將不只是已被取走的資產，還包括市場對哪些供應量數據與合約權限仍可信任的不確定性。

本文僅供資訊參考，不構成財務或投資建議。調查仍在進行中，隨著受影響項目與安全研究人員發布更多發現，所通報的數據可能會有所變動。