Aanvaller haalt circa $2,2 miljoen uit AI-cryptoprojecten

Een onbekende aanvaller haalde op 19 en 20 september circa $2,2 miljoen uit cryptoprojecten Fetch.ai, NuNet en SingularityNET. De actor gebruikte geldige bevoegdheden of digitale handtekeningen om bestaande tokens weg te halen en honderden miljoenen nieuwe tokens te maken.

Blockchain-dataleverancier Bitquery raamt de gerealiseerde opbrengst op circa $2,3 miljoen. De onafhankelijke on-chainpublicatie YFarmX reconstrueerde dezelfde geldstroom naar twee gekoppelde wallets en kwam op circa $2,2 miljoen. Het verschil hangt samen met prijs, meetmoment en methode.

De eerste transactie haalde op 19 september ruim 8,7 miljoen FET, de eigen munt van Fetch.ai, uit een omzetcontract op Ethereum. Drie minuten later bracht de verkoop circa 523 ethereum op. Kort daarna maakte NuNet ruim 408 miljoen nieuwe tokens aan voor hetzelfde ontvangende adres.

Bridge maakte tokens zonder tegenwaarde

Op 20 september volgden ongeoorloofde uitgiften via de bridge van SingularityNET. Zo'n bridge verplaatst tokens tussen blockchains. Bij deze brug worden ze aan de ene kant vernietigd en aan de andere kant in gelijke hoeveelheid aangemaakt.

De aanvaller kon tokens laten ontstaan zonder bewijs dat aan de andere kant iets was vernietigd of vastgezet. Bitquery telde bijna 896 miljoen tokens van SingularityNET, ruim 500 miljoen van World Mobile en ruim 492 miljoen van Cogito. Samen met de transacties bij Fetch.ai en NuNet ging het om bijna 2,3 miljard onttrokken of nieuw gemaakte tokens.

De aantallen zeggen weinig over wat er daadwerkelijk te verdienen viel. De Fetch.ai-verkoop bracht circa 523 ethereum op. De verkopen van de andere vier tokens leverden volgens Bitquery samen circa 184 ethereum en $52.395 aan digitale dollars op. Van de circa 492 miljoen Cogito-tokens bleef door de geringe liquiditeit ongeveer $30 over.

Bitquery schrijft het misbruik toe aan geldige beheer- en ondertekeningssleutels van SingularityNET en NuNet. Volgens cryptonieuwssite ForkLog accepteerde het omzetcontract van Fetch.ai een geldige handtekening zonder controleerbaar bewijs dat de bijbehorende tokens elders waren vastgezet of vernietigd.

Twee wallets verzamelden de opbrengst

De opbrengsten kwamen terecht in twee gekoppelde wallets. Op 20 september werd daarnaast $289.575 aan digitale dollars uit een aan SingularityNET gekoppeld uitbetalingscontract gehaald en naar de tweede wallet gestuurd. Bitquery en YFarmX volgden die geldstroom onafhankelijk. De juridische eigenaar en een eventuele bestemming voor medewerkers zijn onbekend.

Beveiligingsbedrijf PeckShield zag op 20 september in de twee wallets tokens en ethereum met een nominale marktwaarde van circa $16,8 miljoen. Het ging om een balanswaardering; de gerealiseerde opbrengst staat los daarvan. YFarmX stelde later vast dat een pauze van de SingularityNET-munt ruim 824 miljoen tokens in de wallets immobiliseerde. De tokens van World Mobile bleven op dat meetmoment verplaatsbaar en verkoopbaar.

Cryptoproject Fetch.ai meldde op 20 september dat het samen met SingularityNET getroffen wallets en een contract had gedeactiveerd. Het project pauzeerde zijn eigen Ethereum-bridge uit voorzorg.

Bitquery meldde op zijn meetmoment dat drie van de vijf ondertekeningssleutels van de bridge actief en ongewijzigd waren. Het aanmaken van tokens stopte doordat de onbekende actor stopte. Of de drie sleutels inmiddels zijn vervangen, is onbekend.