Podle ChainCatcheru 0G Foundation oznámila cílený útok na svou smlouvu o odměnách prostřednictvím platformy X. Útočník zneužil funkci nouzového výběru smlouvy o odměnách 0G a ukradl 520,010 $0G tokenů, které byly následně převedeny a rozptýleny prostřednictvím Tornado Cash.
Útočník získal přístup k uniklé soukromé klíči z instance Alibaba Cloud, která byla zodpovědná za správu stavu NFT a aktualizace odměn, a uložil klíč lokálně. Tato chyba byla umožněna kritickou zranitelností v Next.js (CVE-2025-66478), která byla zneužita 5. prosince, což vedlo k několika kompromitovaným instancím Alibaba Cloud. Útočník se pohyboval laterálně přes interní IP adresy, což ovlivnilo kalibrační služby, validátorové uzly, služby Gravity NFT, služby prodeje uzlů, výpočetní služby, Aiverse, Perpdex, Ascend a další.
Potvrzené ztráty zahrnují 520,010 $0G tokenů, 9,93 ETH a $4,200 USDT. I přes porušení zůstala základní infrastruktura řetězce a uživatelské prostředky nedotčeny, kromě smlouvy o distribuci odměn.
