Według ChainCatcher, fundacja 0G zgłosiła ukierunkowany atak na swój kontrakt nagród za pośrednictwem platformy X. Napastnik wykorzystał funkcję awaryjnego wypłacania z kontraktu nagród 0G, kradnąc 520,010 $0G tokenów, które następnie zostały przeniesione i rozproszone za pośrednictwem Tornado Cash.
Napastnik uzyskał dostęp do wykradzionej prywatnej klucza z instancji Alibaba Cloud odpowiedzialnej za zarządzanie statusem NFT i aktualizacjami nagród, przechowując klucz lokalnie. To naruszenie zostało ułatwione przez krytyczną lukę w Next.js (CVE-2025-66478) wykorzystaną 5 grudnia, co doprowadziło do kompromitacji wielu instancji Alibaba Cloud. Napastnik poruszał się lateralnie przez wewnętrzne adresy IP, wpływając na usługi kalibracyjne, węzły walidacyjne, usługi Gravity NFT, usługi sprzedaży węzłów, obliczenia, Aiverse, Perpdex, Ascend i inne.
Potwierdzone straty obejmują 520,010 $0G tokenów, 9.93 ETH oraz $4,200 USDT. Mimo naruszenia, podstawowa infrastruktura łańcucha i fundusze użytkowników pozostają nietknięte, z wyjątkiem umowy dotyczącej dystrybucji nagród.
