Chave roubada imprime 2,3 bilhões de tokens na SingularityNET

A chave que autoriza as ordens do projeto foi roubada e bastou para que contratos aceitassem operações que nunca deveriam existir. A primeira saiu em 19 de setembro, às 17h21, horário de Brasília, quando 8.721.530,40 FET deixaram o conversor de tokens da Fetch.ai rumo a uma carteira do atacante. A transação está confirmada on-chain, no bloco 26.013.913, sem invasão de contrato naquele momento. O que cedeu foi a confiança depositada na chave.

A segunda ordem veio 28 minutos após o saque. A conta de implantação da NuNet cunhou 408,53 milhões de NTX para a mesma carteira, no bloco 26.014.055.

Esses ativos existem em Ethereum e em Cardano ao mesmo tempo, e o total só fecha quando criar de um lado exige queimar do outro. A ponte que faz esse vaivém, a chamada bridge, é um contrato que age ao receber uma ordem assinada pela chave do projeto e toma a queima da outra ponta como fato, sem checar nada por conta própria. Com a chave, o atacante assinou ordens válidas e imprimiu tokens do nada.

Na madrugada de 20 de setembro, a trilha aberta na véspera produziu cunhagens sem autorização em Ethereum, com 53,838 milhões de WMTx e 260 milhões de AGIX.

O número de 2,3 bilhões do título sai de uma única medição. Ele vem de um serviço independente que somou AGIX, NTX, CGV e WMTx criados sem autorização, além do FET drenado do conversor. Como a conta junta tickers e redes diferentes, o total é leitura de um provedor de dados, sem cifra oficial das equipes.

O que ficou retido e o que já foi convertido em dinheiro

O alerta dos monitores de segurança saiu em 20 de setembro, às 06h21 (Brasília), com cerca de US$ 16,77 milhões em carteiras do atacante.

Essa foto contava 649 ETH, 33,538 milhões de WMTx e 198,3 milhões de AGIX. Aos preços de agora, a carteira vale cerca de US$ 17,5 milhões. Como dinheiro realizado, o caixa convertido é de cerca de US$ 2,25 milhões, medido por um provedor independente, sem misturador de fundos e sem depósito em exchange centralizada. Um número mede o que o atacante segura, o outro o que ele transformou em dinheiro.

Os US$ 14,42 milhões atribuídos aos AGIX são o item mais frágil do total. Não são dinheiro. Os 260 milhões cunhados são inventário ilegítimo.

O último fechamento diário de AGIX na Binance é de 30 de junho de 2024, e o ativo está ausente na Bybit, inválido na Gate.io e na MEXC e sem mercado na KuCoin. O único preço real está em uma pool de Ethereum, onde vale cerca de US$ 0,0007, quase cem vezes menos do que os agregadores de preço publicam, US$ 0,0767 em um deles e US$ 0,1131 em outro, com divergência de 47% entre eles. Nenhum preço de AGIX serve para avaliar o ativo.

As perdas de preço se concentraram em WMTx e NTX

O FET não desabou. Fechou 18 de setembro em US$ 0,1853, fez mínima de US$ 0,1671 em 20 de setembro e está em US$ 0,1777, alta de cerca de 6% em 7 dias.

O dano aparece no WMTx e no NTX. O WMTx oscila entre US$ 0,0167 e US$ 0,0179, com queda de 24 horas entre 45,7% e 49,3% conforme os provedores consultados, e tocou US$ 0,00357 na mínima do dia de um deles, quase 90% abaixo do topo. O NTX caiu cerca de 81% em 7 dias e perdeu liquidez a ponto de não ter quem compre. O ETH está em US$ 2.685, alta de 2,3% em 24 horas, sem evento sistêmico no mercado, e a KuCoin suspendeu depósitos de FET como reação.

As primeiras reações oficiais e os pontos ainda sem explicação

Na Bitget, a pausa no depósito e no saque do FET vem de um aviso de 17 de setembro, por manutenção da carteira, dois dias antes da primeira ordem.

A Fetch.ai disse que seus contratos não foram afetados, que o FET opera normalmente e que a mira é a bridge da SingularityNET, e pausou por precaução a conversão de AGIX para FET e a própria ponte do lado Ethereum. A análise on-chain que publicou é preliminar. A World Mobile Chain confirmou a cunhagem não autorizada de WMTx e pediu congelamento às exchanges e revogação das permissões de cunhagem. A SingularityNET não publicou declaração equivalente, e as equipes pedem que usuários ignorem falsos canais de recuperação.

Seguem sem resposta pela SingularityNET a causa-raiz, a lista completa das transações e a conciliação dos tokens entre Cardano, BNB Chain e Ethereum.