🔍 Fetch.ai und NuNet: Was ein kompromittierter Signing Key tatsächlich kaputt macht

Fetch.ai hat eine vorläufige On-Chain-Analyse des Exploits seines Token-Conversion-Contracts veröffentlicht. Das Team sagt, der Angriff gehe von einem kompromittierten Signing Key zu den Auszahlung-Wallets des Angreifers zurück, dass die betroffenen Wallets und der Contract zusammen mit SingularityNET deaktiviert wurden und dass die Untersuchung noch läuft. Laut Berichten beläuft sich der kombinierte Verlust über Fetch.ai und NuNet hinweg auf ungefähr 2 Millionen US-Dollar, wobei derselbe Angreifer hinter beiden steckt.

Drei Dinge zum Mechanismus:

1️⃣ Eine Token-Migration verschafft einem Token vorübergehend wieder einen Issuer. Tokens werden auf einer Seite freigegeben oder geprägt, weil ein Off-Chain-Signer bestätigt (attestiert), dass auf der anderen Seite etwas passiert ist. Für die Dauer dieser Migration beruht die Integrität des Supplies auf der Schlüsselverwahrung, nicht auf dem Konsens.

2️⃣ Eine Signatur ist kein Beweis. Ein Contract kann verifizieren, dass eine Nachricht signiert wurde. Er kann jedoch nicht verifizieren, dass das im Text der Nachricht beschriebene Ereignis jemals eingetreten ist.

3️⃣ Dass man den Contract schnell deaktivieren kann und dass man genau dadurch so auffällig wird, kommt aus derselben Quelle: privilegierte Kontrolle. Das ist ein Kompromiss, den man beim Namen nennen sollte, nicht ein Bug.

Offene Frage: Dass beide Projekte vom selben Angreifer ausgenommen (abgedrained) wurden, wirft die Frage auf, ob es sich um eine gemeinsame Vertrauensgrenze handelte – statt um zwei separate Ausfälle.

Keine finanzielle Beratung. Mach deine eigene Recherche.

#CryptoNews #Security