Una misma cartera de Ethereum recibió los fondos procedentes del robo de 8,72 millones de FET a Fetch.ai y de la emisión no autorizada de 408,5 millones de NTX de NuNet, según un análisis forense elaborado por Athena. El ataque del 19 de septiembre dejó pérdidas de unos 1,55 millones de dólares en el primer activo y vinculó dos credenciales comprometidas dentro del ecosistema de puentes asociado a SingularityNET.
El incidente comenzó con el vaciado del contrato de conversión utilizado en la parte de Ethereum del puente de SingularityNET. En concreto, se retiraron 8.721.530 FET del contrato TokenConversionManagerV3, el componente encargado del bloqueo y liberación de tokens. Veintinueve minutos después, una clave con permisos de emisión de NuNet creó 408.532.878 NTX y envió toda la cantidad a la misma dirección que había recibido los FET.
Una autorización válida permitió extraer todo el saldo
El informe de Athena sitúa el origen del robo en una clave de autorización del sistema, no en un fallo que permitiera saltarse las comprobaciones del contrato. La transacción incluía una firma válida de la dirección que el contrato reconocía como autorizada. Con ella, el atacante pudo ejecutar la función conversionIn y transferir el saldo completo de FET a una cartera bajo su control.
El diseño del contrato amplificó el alcance de la operación. El límite de un millón de FET por transacción solo se aplicaba a los tokens que salían de Ethereum, pero no estaba activo en conversionIn. Por eso fue posible retirar 8,72 millones de FET en una sola operación. Además, el mensaje firmado no vinculaba la autorización con un destinatario concreto, de modo que quien realizaba la llamada podía indicar la dirección receptora.
El contrato afectado coincide con el código fuente verificado del repositorio público de SingularityNET y está conectado con el token FET de la actual Artificial Superintelligence Alliance. Fetch.ai aclaró que la infraestructura comprometida pertenecía a SingularityNET, principalmente a su puente entre Ethereum y Cardano. Sus propios contratos y las transferencias ordinarias de FET continuaban operativos.
La actividad de NuNet apunta a una operación coordinada
La relación entre ambos sucesos no se limita a la cartera receptora. La clave de emisión de NuNet llevaba inactiva desde marzo de 2023 y generó una cantidad equivalente aproximadamente al 42% del suministro documentado del proyecto, según el análisis. Cuarenta y cinco minutos antes del robo de FET, esa clave había enviado 0,3667 ETH a la cartera que acabaría recibiendo los activos. Otra cuenta vinculada al atacante transfirió a esa dirección 24,3 millones de NTX.
Las ventas de NTX a través de la infraestructura de intercambio de MetaMask también habían comenzado antes de que se vaciara el puente de FET. Después, los fondos robados se dirigieron principalmente a Ethereum mediante ese mismo sistema, mientras que más de 217 millones de NTX se vendieron en mercados descentralizados.
Hacia la 1:10 del 20 de septiembre, la cartera central contenía 547,89 ETH, valorados entonces en unos 1,44 millones de dólares, y otros 230 millones de NTX. La liquidez disponible se agotó rápidamente: cuatro ventas posteriores, por un total de 38,55 millones de NTX, solo aumentaron el saldo del atacante en unos 0,30 ETH. Una operación adicional de 10 millones de NTX, canalizada a través de Mayan Protocol, generó aproximadamente 940 USDT para su envío entre cadenas.
Fetch.ai pausa las conversiones y Bitvavo restringe WMTX
Fetch.ai pausó las conversiones de AGIX a FET y el contrato del puente en Ethereum como medida preventiva, mientras trabaja con SingularityNET para investigar lo ocurrido. El primer seguimiento del informe indicó que, unas cinco horas después del ataque, las credenciales comprometidas del autorizador del puente de FET y de la emisión de NuNet todavía no habían sido sustituidas ni revocadas.
El contrato de conversión de FET quedó vacío e inactivo, pero volver a depositar liquidez sin cambiar la autorización mantendría expuesto el sistema a otra retirada firmada. En el caso de NuNet, persiste un riesgo distinto mientras la cartera afectada conserve capacidad para crear nuevos NTX.
La incidencia también alcanzó a WMTX. Bitvavo suspendió el 20 de septiembre sus depósitos y retiradas y detuvo temporalmente la negociación del token tras informar de un incidente de seguridad activo. El intercambio aseguró que los saldos de sus clientes estaban a salvo. La documentación histórica de SingularityNET sitúa a WMTX, FET y NTX dentro de una infraestructura relacionada con su ecosistema de puentes entre Ethereum y Cardano, aunque el análisis disponible no demuestra que WMTX fuera comprometido mediante el mismo mecanismo.
