Fetch.ai verliest $2 miljoen door beveiligingsfout in bridge

Fetch.ai is getroffen door een hack waarbij ongeveer $2 miljoen aan FET-tokens werd gestolen. De aanvaller maakte gebruik van een beveiligingsfout in de TokenConversionManagerV3 van de bridge, aldus veiligheidsbedrijf SlowMist.

In het kort:

• Aanvaller stal ongeveer $2 miljoen FET-tokens via de Fetch.ai-bridge
• De kwetsbaarheid zat in onvoldoende controles bij het converteren van tokens
• Een gelekte privésleutel werd gebruikt om de transactie goed te keuren

Hoe de hack plaats vond

De kwetsbaarheid bevond zich in de conversionIn()-functie van TokenConversionManagerV3. Dit onderdeel van de bridge vertrouwde volledig op een handtekening van een enkele autorisatiepersoon als beveiligingsmaatregel. In tegenstelling tot de conversionOut()-functie ontbraken cruciale controles, zoals limietvalidatie en verificatie van op-chain burn- of lock-bewijzen.

De aanvaller wist een privésleutel van de autorisatiepersoon in handen te krijgen en gebruikte deze om een nieuw bericht te ondertekenen op hun eigen adres. Omdat de enige controle bestond uit validatie van die handtekening, werd de transactie goedgekeurd. Vervolgens kon de aanvaller het volledige FET-saldo van de bridge in één transactie leegpompen.

Relevante details van de aanval

Het aanvallernadres (0x1572f2af7696b39c85e3221cde8efb640f86c362) stuurde de gestolen tokens door naar adres 0x2dcc1085fdcf418b421e45e86e4e54637cc21dfe. De kwetsbare contract bevindt zich op 0xab424a430cc09864fa1277a38193111705adf3a3.

Dit incident onderstreept het belang van meerlagige beveiligingscontroles in blockchain-applicaties. Vooral bij kriitieke functies zoals token-bruggen moet validatie op meerdere niveaus plaatsvinden, niet alleen op een enkele handtekening.