Компания Fetch.ai 20 сентября 2026 года подтвердила, что расследует инцидент с контрактом конвертации токенов. Проект призвал пользователей доверять только официальным каналам после появления сообщений о возможной эксплуатации уязвимости.
По предварительным данным, атака была связана с утечкой ключа подписи. Из контракта TokenConversionManagerV3 в сети Ethereum было выведено примерно 8,7 млн FET на сумму около $1,5 млн. В Blockaid отметили, что злоумышленник предъявил валидную подпись авторизатора конвертации, что позволило контракту перевести оставшийся баланс FET. Fetch.ai опубликовала предварительный ончейн-анализ в ASI:One, где прослеживается путь от скомпрометированного ключа до кошельков вывода средств. Совместно с SingularityNET проект деактивировал затронутые кошельки и контракты, однако расследование пока не завершено.
Инцидент оказался шире первоначальных оценок. Тот же кошелёк, получивший FET, связан с выпуском примерно 409 млн NTX через аккаунт deployer NuNet; на момент создания токены оценивались примерно в $460 тыс. Это эквивалентно около 41% заявленного максимального предложения NTX в 1 млрд токенов. Позднее PeckShield сообщила о несанкционированной чеканке примерно 260 млн AGIX и 54 млн WMTX. По данным аналитиков, активы атакующего оценивались почти в $17 млн. Остаётся неясным, дал ли один утёкший ключ доступ ко всем пострадавшим контрактам или были скомпрометированы несколько учётных данных.
Разница между инцидентами существенна: вывод FET касался уже существующих токенов и не увеличивал общее предложение, тогда как несанкционированная эмиссия NTX, AGIX и WMTX создаёт риск размытия. Это не означает, что все выпущенные токены попали в обращение: поставщики данных могут исключить активы, которые проекты позднее аннулируют, сожгут или заменят через миграцию.
Рынок отреагировал резко: NTX упал примерно на 70% и 20 сентября обновил исторический минимум. FET снизился меньше, а общий крипторынок в это время также торговался в минусе. Ситуацию усугубляет низкая ликвидность NTX: по данным CoinGecko, скользящий суточный объём торгов составлял менее $50 тыс., тогда как несанкционированная эмиссия оценивалась в $460 тыс., то есть примерно в десять раз больше дневного оборота. Даже частичная продажа такой позиции могла бы резко сдвинуть цену.
С технической точки зрения смарт-контракт может проверить, что подпись поступила от одобренного ключа, но не может определить, действительно ли владелец намеревался провести транзакцию. SlowMist обратила внимание, что входящая функция конвертации Fetch.ai полагалась на подпись одного внешнего аккаунта и не имела части дополнительных ограничений, которые есть в другой функции конвертации. Деактивация контрактов сдерживает риск, но не закрывает вопрос: финальный отчёт должен установить, какие именно разрешения были скомпрометированы, какие несанкционированные токены останутся признанными контрактами и биржами и как проекты будут компенсировать потери. До появления этих данных рынок продолжит закладывать в цены не только уже выведенные активы, но и неопределённость по поводу доверия к объёму предложения и контрактным разрешениям.
