根據鏈上分析，2026 年 9 月 19 日晚間，攻擊者利用一條遭洩露的鏈下簽署金鑰授權轉帳，將連接 Ethereum 與 Cardano 的官方 SingularityNET 跨鏈橋的 Ethereum 端元件中的全部 FET 流動性掏空。受影響代幣的總損失目前已達約 1,677 萬美元。

遭攻擊的合約 TokenConversionManagerV3 在對其 conversionIn 函式的單次呼叫中，向一個攻擊者控制的錢包支付了 8,721,530 枚 FET，約 155 萬美元。該交易由跨鏈橋自身的轉換授權者以有效的加密簽章授權，這是一把 nonce 為零、僅用於簽署後端核准的離線金鑰，顯示洩露發生在金鑰保管或簽章服務環節，而非合約程式碼本身。

FET 是 Artificial Superintelligence Alliance（ASI）的主要代幣，該聯盟於 2024 年由 Fetch.ai、SingularityNET 與 Ocean Protocol 合併成立。

合約設計放大了損害

經驗證的合約自身設計擴大了損失。調查人員發現兩個弱點，使單一簽署訊息即可造成全部資金被掏空。首先，conversionIn 未設定單次轉換上限：872 萬枚 FET 的支付金額是設定上限的 8.7 倍，而該上限僅適用於 conversionOut 方向。其次，簽署的摘要綁定了呼叫者、金額與轉換 ID，卻未綁定收款方，意味著任何有效簽章都可將款項導向任意地址。

調查人員亦指出，此次掏空所使用的轉換 ID 是異常的原始位組，與此前全部 100 筆合法轉換所使用的 UUID 風格識別碼不同。

數分鐘後 NuNet 遭鑄幣攻擊

在 FET 被掏空後 29 分鐘，同一收款錢包收到 4.085 億枚新鑄造的 NTX，約佔 NuNet 總供應量的 42%，來自一把自 2023 年 3 月起便處於休眠狀態的鑄幣金鑰，且該金鑰在片刻前由另一個錢包提供 Gas 費用。鑑識顯示兩項操作均事先演練過：在 FET 掏空執行之前，預先備妥的 NTX 已開始透過 MetaMask 的兌換路由出售。

隨著攻擊者拋售超過一半的鑄造量，NTX 價格下跌約 65%；由於鏈上流動性稀薄，實際可提取的價值約為 547.9 ETH，約 144 萬美元。

攻擊擴及 AGIX 與 WMTx，而回應仍讓金鑰處於可用狀態

根據 PeckShield 的監測，同一攻擊者隨後在 Ethereum 上鑄造了 2.6 億枚 AGIX 與 5,380 萬枚 WMTx，使其總持倉擴大至約 1,677 萬美元，包括價值約 1,442 萬美元的 1.983 億枚 AGIX、649 枚 ETH，以及 3,350 萬枚 WMTx。AGIX 是 SingularityNET 的舊版代幣，在 2024 年 ASI Alliance 合併使 FET 成為主要代幣後流動性極為稀薄；而 World Mobile 的 WMTx 似乎是透過共用的 SingularityNET 跨鏈權限受到影響。

#PeckShieldAlert The same exploiter has exploited @SingularityNET , resulting in the unauthorised minting of 260M $AGIX \u0026 53.838M $WMTx on Ethereum. The exploiter currently holds ~$16.77M worth of crypto, including 198.3M AGIX (worth $14.42M), 649 $ETH (worth ~$1.67M), and… pic.twitter.com/oHBpbWXQMj — PeckShieldAlert (@PeckShieldAlert) September 20, 2026

團隊確認事件並暫停轉換

Fetch.ai 與 SingularityNET 均確認知悉此次事件。Fetch.ai 表示其自身合約未受影響，攻擊目標是 SingularityNET 的基礎設施；SingularityNET 則指出國庫與交易所錢包未受影響，持有者無需採取任何行動。

作為預防措施，兩個團隊均已暫停 AGIX 兌 FET 的轉換以及 Ethereum 跨鏈橋合約，停用了受影響的錢包與合約，並發布初步鏈上分析，追溯從遭洩露的簽署金鑰到攻擊者出金錢包的攻擊路徑。

We are aware of an exploit involving the FET token migration and bridge architecture, as well as other tokens within this infrastructure. Our team responded immediately and is working with security partners. An unauthorized party withdrew approximately $1.56M in FET from the… — Artificial Superintelligence Alliance (@ASI_Alliance) September 20, 2026

Following reports of an exploit on 19 September, here is where things stand. \u003e contracts are not affected. No contract is under threat at this time, and FET continues to operate normally. \u003e The attack is targeting SingularityNET… — Fetch.ai (@Fetch_ai) September 20, 2026

關鍵補救缺口仍然存在

根據最新追蹤更新，遭洩露的轉換授權者尚未輪替，被竊取的 NuNet 鑄幣角色也未撤銷，意味著這兩把金鑰仍可簽署後續轉換並鑄造更多供應量。分析師警告，若在輪替授權者之前補回被掏空的跨鏈橋合約資金，只會讓同一攻擊重新瞄準新的資金。

來源：Metaverse Post