Conform ChainCatcher, Fundația 0G a raportat un atac țintit asupra contractului său de recompensă prin intermediul platformei X. Atacatorul a exploatat funcția de retragere de urgență a contractului de recompensă 0G, furând 520,010 $0G tokenuri, care au fost ulterior transferate și dispersate prin Tornado Cash.
Atacatorul a accesat o cheie privată scursă dintr-o instanță Alibaba Cloud responsabilă pentru gestionarea stării NFT și actualizărilor de recompense, stocând cheia local. Această breșă a fost facilitată de o vulnerabilitate critică în Next.js (CVE-2025-66478) exploatată pe 5 decembrie, conducând la compromiterea mai multor instanțe Alibaba Cloud. Atacatorul a avansat lateral prin adrese IP interne, afectând serviciile de calibrare, nodurile validatoare, serviciile Gravity NFT, serviciile de vânzare a nodurilor, calculul, Aiverse, Perpdex, Ascend și altele.
Pierderile confirmate includ 520,010 $0G tokeni, 9.93 ETH și $4,200 USDT. În ciuda breșei, infrastructura de bază a lanțului și fondurile utilizatorilor rămân neafectate, în afară de contractul de distribuție a recompenselor.
