Gekaperter Signaturschlüssel: Angreifer prägt Millionen Token bei SingularityNET und NuNet

Seit dem 19. September hat ein Angreifer bei mehreren Projekten der Artificial Superintelligence Alliance unautorisiert Token erzeugt und verkauft. Der Schaden liegt nach Schätzungen im zweistelligen Millionenbereich. Fetch.ai hat die Umwandlung von AGIX in FET und die eigene Ethereum-Bridge vorsorglich gestoppt und betont, die eigenen Verträge seien nicht kompromittiert. Der Angriff lief in Etappen über ein Wochenende. Betroffen sind die Token von SingularityNET (AGIX), NuNet (NTX) und World Mobile (WMTx). Der Angreifer erzeugte Einheiten, denen keine Gegenleistung gegenübersteht, und verkaufte sie anschließend an den Markt. Ursache war nach der bisherigen Analyse kein Fehler im Programmcode, sondern ein kompromittierter Signaturschlüssel. Fetch.ai erklärte, die eigenen Verträge seien nicht betroffen und FET funktioniere normal; der Angriff richte sich gegen SingularityNET. Die Umwandlung von AGIX in FET wurde trotzdem angehalten und die Ethereum-Bridge ausgesetzt, solange die Lage nicht geklärt ist. Zur Schadenshöhe gibt es zwei Schätzungen, die sich ergänzen: BTC-ECHO beziffert den Gesamtschaden auf mindestens 16,7 Millionen US-Dollar, Protos nennt rund 2,25 Millionen US-Dollar als tatsächlich realisierten Erlös und etwa 17 Millionen US-Dollar als Wert der erzeugten Bestände zum Zeitpunkt des Angriffs. Der Unterschied erklärt sich daraus, dass gefälschte Token nur so viel einbringen, wie der Markt beim Verkauf aufnimmt.

Warum die Mengenangaben zwischen den Berichten auseinandergehen

Ein Blick auf die Zahlen zeigt, wie schnell sich ein laufender Angriff verändert. BTC-ECHO nannte am Montagmittag 260 Millionen unautorisiert erzeugte AGIX, 408,5 Millionen NTX und 53,8 Millionen WMTx sowie 8,7 Millionen entwendete FET. Protos berichtete gut zweieinhalb Stunden später von 900 Millionen AGIX, 400 Millionen NTX, 500 Millionen WMTx und zusätzlich 500 Millionen CGV des Projekts Cogito. Bei NTX liegen beide Angaben nah beieinander, bei AGIX und WMTx weit auseinander. Die naheliegende Erklärung ist der Zeitpunkt: Die Überschrift von BTC-ECHO lautet, der Hack weite sich aus. Solange die Projekte keine abschließende Bilanz vorlegen, sind beide Zahlen Momentaufnahmen und keine Endstände. Diese Redaktion nennt sie deshalb mit Quelle und Uhrzeit, statt sich auf einen Wert festzulegen. Bemerkenswert ist ein weiterer Fund. Die Analysefirma Bitquery ordnet dem Angreifer die Plünderung von 16 Wallets zu, darunter vier, die als Mitarbeiter-Wallets der betroffenen Unternehmen eingestuft wurden; aus einem Smart Contract für die Gehaltsabrechnung verschwanden 289.575 USDC. Ein Sicherheitsbericht weist darauf hin, dass die Mehrheit der Signaturschlüssel bislang nicht ausgetauscht wurde. Wie andere Brücken-Angriffe abliefen, zeigt unser Bericht zum Exploit der Symbiosis-Bridge.

Was Halterinnen und Halter der betroffenen Token jetzt beachten sollten

Für Bestände in AGIX, FET, NTX und WMTx ergeben sich aus dem Vorgang konkrete Folgen:

• Umtauschwege sind vorübergehend zu. Die Konvertierung von AGIX in FET und die Ethereum-Bridge von Fetch.ai stehen still. Wer einen Umtausch geplant hatte, kann ihn derzeit nicht ausführen.
• Zusätzliche Token verwässern den Bestand. Jede unautorisiert erzeugte Einheit erhöht die umlaufende Menge, ohne dass Gegenwert entsteht. Ob und wie die Projekte das bereinigen, etwa durch Einfrieren oder einen Snapshot, ist offen.
• Der Angriffsweg betrifft nicht nur diese Projekte. Ein gestohlener Signaturschlüssel lässt sich nicht durch einen Code-Audit finden. Solange die übrigen Schlüssel nicht gewechselt sind, bleibt das Risiko bestehen.
• Kursangaben sind in dieser Lage mit Vorsicht zu lesen. Wenn ein Angreifer selbst erzeugte Token verkauft, entsteht Handelsvolumen ohne wirtschaftliche Grundlage.

Eine Einordnung vergleichbarer Vorfälle bietet unsere Chronik großer Sicherheitsverletzungen, die Grundlagen zu kleineren Projekten unser Ratgeber dazu, was Altcoins sind. Die On-Chain-Auswertung hat Protos zusammengetragen.