9月19日、SingularityNETが資産交換に使うイーサリアム側コントラクトで異常な操作が発生し、8,721,530枚のFETが流出した。当時の価格で約155万ドルに相当する。29分後には、長期間稼働していなかったNuNetの発行権限から4億853万2,878枚のNTXが新たに発行され、FETを受け取ったウォレットへ全量が送られた。オンチェーン調査機関Athenaの分析では、両方の操作が同一グループによる協調行動だった可能性がある。一方、WMTXが同じ仕組みで影響を受けたかどうかは、現時点で確認されていない。
Fetch.aiはその後、AGIXからFETへの交換サービスとイーサリアム側ブリッジコントラクトを一時停止した。同社によると、影響を受けたインフラはSingularityNETに属し、主に同社のイーサリアム—Cardanoブリッジに関係する。Fetch.aiが管理するコントラクトと通常のFET送金は稼働を続けている。
流出元はSingularityNETの資産交換コントラクト
調査報告では、問題のコントラクトはTokenConversionManagerV3と特定された。これはSingularityNETのブリッジシステムで、イーサリアム側の資産をロック・解放する正式なコンポーネントである。検証済みコードはSingularityNETが公開するコードベースと一致し、現在のArtificial Superintelligence AllianceのFETトークンとも関連している。
調査担当者は、損失の原因について、ブリッジコントラクトそのものを回避されたのではなく、バックエンドの承認鍵が掌握された可能性が高いとみている。攻撃に使われたトランザクションには有効な署名が含まれており、署名アドレスはコントラクトがあらかじめ信頼していた承認アドレスと一致した。このため攻撃者はconversionIn関数を呼び出し、コントラクト内のFET全量を自ら管理するウォレットへ移せた。
コントラクトの設計も単一トランザクションの影響を拡大させた。従来の100万枚というFETの取引上限は、イーサリアムから送出されるトークンだけを制限し、conversionInの経路には適用されていなかった。その結果、攻撃者は約872万枚のFETを一度に引き出した。また、署名メッセージには最終的な受取先アドレスが紐づけられておらず、有効な承認を得た呼び出し元であれば、トークンの送付先を指定できる状態だった。
FET流出から29分後にNTXを発行
オンチェーンの時系列によると、9月19日20時50分（UTC）、FETの流出から約29分後、2023年3月以降活動していなかったNuNetの発行鍵が408,532,878枚のNTXを発行した。発行されたNTXは全量が、流出したFETを受け取ったウォレットへ送られた。この数量は、NuNetが開示していたトークン供給量のおよそ42％に相当する。
その後の追跡でも、両事象の関連を示す動きが確認された。同日19時36分、FETが流出する45分前には、NuNetの発行アドレスから最終受取ウォレットへ0.3667ETHが直接送られていた。また、攻撃者と関連する別のアカウントからは、2,430万枚のNTXが同じウォレットに移されていた。
FETブリッジコントラクトが空になる前に、NTXはすでにMetaMaskの交換インフラを通じて売却され始めていた。少なくとも、掌握された2組の認証情報に関係する資産移動と換金は、FETの大規模な引き出しより前に始まっていた可能性がある。
流動性不足でNTXの換金に制約
攻撃者はその後、2種類のトークンを処理した。盗まれたFETの大半はMetaMaskの交換インフラを通じてイーサリアムに交換された。一方、新たに発行されたNTXは、分散型の流動性市場で2億1,700万枚超が売却された。9月20日1時10分ごろの時点で、中心となるウォレットには547.89ETH、約144万ドル相当が残っていたほか、約2億3,000万枚のNTXも保有していた。
NTXの売却は、ほどなく流動性不足の制約を受けた。合計3,855万枚のNTXを売却した4件の取引で増えた攻撃者のETH残高は約0.30ETHにとどまった。利用可能な流動性プールがすでに大幅に縮小していたためだ。別の1,000万枚のNTXはMayan Protocolを経由し、約940USDTを得たうえでクロスチェーン移転に使われた。
関連資産の市場データも大きく変動した。NTXは一時0.00053ドル、24時間上昇率780.38％を記録した。同じ時間帯のETHは2,747.34ドルで24時間4.23％高、SingularityNET関連のAGIXは0.08ドルで24時間0.47％安だった。これらは事象後の市場状況を示すデータであり、トークン供給や損失処理が完了したことを単独で示すものではない。
WMTXは入出金停止、同一経路かは未確認
影響はその後、WMTXにも広がった。9月20日、暗号資産取引所Bitvavoは、同トークンに関するセキュリティー事案の処理が進んでいるとして、WMTXの入金と出金を停止。その後、取引も一時停止した。同取引所は、顧客残高は安全だとしている。
SingularityNETの過去の資料によると、WMTX、FET、NTXはいずれも同社のイーサリアム—Cardanoブリッジ関連エコシステムのインフラを利用していた。ただ、現在のフォレンジック分析で詳しく調べられているのはFETとNTXの動きが中心で、WMTXが同じ脆弱性または同じ認証情報によって影響を受けたことは、まだ証明されていない。Cardanoは同時点で0.24ドル、24時間で6.75％上昇していた。
承認鍵の失効がサービス再開の前提に
Fetch.aiはSingularityNETと協力して調査を進めており、調査中は関連する交換サービスを停止すると説明している。初期の追跡では、攻撃発生から約5時間後の時点でも、FETブリッジの承認アドレスとNuNetの発行認証情報は、ローテーションまたは失効の処理を終えていなかった。その時点で、FETブリッジコントラクトはすでに空になり、活動を停止していた。
このため、サービス復旧には認証情報の処理が重要な前提となる。FETの交換コントラクトが同じ承認アドレスを信頼し続けている場合、流動性を直接補充すると、署名済みの引き出しが再び実行されるリスクが残る。NuNetについても、影響を受けたウォレットからNTXが追加発行される可能性への対応が必要になる。
今後確認される運用上のポイントは、Fetch.aiがAGIXからFETへの交換とイーサリアム側ブリッジをいつ再開するか、また関連する承認情報のローテーションが完了したかどうかだ。WMTXについては、Bitvavoが評価期間中も取引と送金を制限するとしており、取引所の再開時期と認証情報の安全確保が、影響を受けたサービスの復旧を左右する。