Fetch.ai verliert 2 Millionen Dollar durch Sicherheitslücke in Bridge

Fetch.ai ist Opfer eines Hacks geworden: Rund 2 Millionen Dollar in FET-Tokens wurden gestohlen. Der Angreifer nutzte eine Sicherheitslücke im TokenConversionManagerV3 der Bridge aus, wie das Sicherheitsunternehmen SlowMist mitteilt.

Das Wichtigste in Kürze:

• Der Angreifer stahl über die Fetch.ai-Bridge rund 2 Millionen Dollar in FET-Tokens
• Die Schwachstelle lag in unzureichenden Prüfungen bei der Konvertierung von Tokens
• Mit einem geleakten privaten Schlüssel wurde die Transaktion freigegeben

Wie der Hack ablief

Die Schwachstelle befand sich in der Funktion conversionIn() des TokenConversionManagerV3. Dieser Teil der Bridge verließ sich als einzige Sicherheitsmaßnahme vollständig auf die Signatur einer einzelnen autorisierten Person. Anders als bei der Funktion conversionOut() fehlten entscheidende Prüfungen, etwa die Validierung von Limits und der Nachweis eines On-Chain-Burns oder Locks.

Der Angreifer konnte den privaten Schlüssel der autorisierten Person erlangen und signierte damit eine neue Nachricht an seine eigene Adresse. Da die einzige Kontrolle in der Prüfung dieser Signatur bestand, wurde die Transaktion genehmigt. Anschließend konnte der Angreifer das gesamte FET-Guthaben der Bridge in einer einzigen Transaktion abziehen.

Wichtige Details des Angriffs

Die Adresse des Angreifers (0x1572f2af7696b39c85e3221cde8efb640f86c362) leitete die gestohlenen Tokens an die Adresse 0x2dcc1085fdcf418b421e45e86e4e54637cc21dfe weiter. Der verwundbare Vertrag befindet sich unter 0xab424a430cc09864fa1277a38193111705adf3a3.

Dieser Vorfall unterstreicht, wie wichtig mehrstufige Sicherheitskontrollen in Blockchain-Anwendungen sind. Gerade bei kritischen Funktionen wie Token-Bridges muss die Validierung auf mehreren Ebenen erfolgen und darf sich nicht allein auf eine einzelne Signatur stützen.