Fetch.ai 和 NuNet 损失 201 万美元，攻击者盗用泄露的签名密钥

攻击者利用被盗用的签名密钥，从 Fetch.ai 的 TokenConversionManagerV3 窃取约 870 万枚 FET，并在 NuNet 未经授权铸造了 4.085 亿枚 NTX，两起攻击合计损失约 201 万美元；安全公司 Blockaid 和 PeckShield 均将两起攻击关联至同一攻击者钱包。

攻击的财务规模：FET 153 万美元与 NTX 46 万美元的来源追踪

根据 PeckShield 的分析，攻击者共窃取 870 万枚 FET（价值约 153 万美元），并未经授权铸造了 4.085 亿枚 NTX（价值约 46.27 万美元）。Blockaid 的独立观察显示，约 156 万美元的 FET 代币从转换器中被移除，同时新铸造了约 45.2 万美元的 NTX 代币，使攻击期间的总损失约达 201 万美元。

后续报告将 NTX 的铸造与同一个接收钱包关联起来，显示两起攻击均由同一个攻击者钱包集群执行。尽管在约 2.85 万亿美元的整体加密货币市场中，201 万美元的规模相对有限，但此次攻击显示出特权凭证的泄露可以如何跨越相互连接的系统蔓延，即使底层代币合约本身未被直接攻破。

技术漏洞：TokenConversionManagerV3 的 ECDSA 签名设计与缺失的限额机制

SlowMist 的技术分析报告指出，TokenConversionManagerV3 的 conversionIn() 函数仅依赖来自单一外部拥有账户（EOA）的 ECDSA 签名进行授权；该函数未实施 checkLimits(amount) 交易限额控制机制，也未要求提供链上销毁或锁定验证证明。这意味着一旦授权密钥泄露，攻击者只需提供一个合法签名，即可耗尽转换器中的所有 FET 余额。

另一方面，基于区块链的分析显示，NuNet 的铸币密钥也可能遭到泄露，使攻击者得以未经授权大量铸造 NTX。目前尚不能断定 Fetch.ai 和 NuNet 两个项目共用同一把密钥，具体的凭证泄露方式仍在调查中。

NTX 暴跌 95% 与 FET 受损较轻的原因差异

这两种代币对此次攻击的价格反应截然不同，根源在于攻击对代币供应量的影响方式不同。对于 FET，攻击者移除了转换器中的既有代币，属于供应量被动减少，对整体流通供应的冲击有限。对于 NTX，攻击者未经授权铸造了 4.085 亿枚新代币，造成代币供应量急剧膨胀，破坏了代币供应的完整性，直接引发市场恐慌性抛售。

根据 CoinMarketCap 数据，NTX 目前交易价格约为 0.000066 美元，24 小时内下跌近 95%，并于 9 月 20 日触及历史最低点 0.00004075 美元；FET 则未受到同等程度的灾难性冲击。

Fetch.ai 的回应措施与调查中的后续问题

Fetch.ai 在事件发生后采取了以下应对措施：

暂停以太坊桥接服务

与 SingularityNET 合作，停用受影响的钱包和合约

宣布所有合约已恢复正常运行

出于安全考虑，暂停 AGIX 到 FET 的转换

委托 ASI:One 发布链上攻击追踪分析报告（追踪从外泄签名密钥到攻击者提款钱包的完整路径，但并非最终报告）

截至发稿，Fetch.ai 表示调查仍在进行中，尚未公开说明凭证如何泄露；尚待回答的问题包括：Fetch.ai 是否已轮换或替换所有受影响的权限，以及 NuNet 将如何处理仍与攻击者关联的未经授权铸造的 NTX。

常见问题

此次 Fetch.ai 和 NuNet 攻击的总损失金额是多少？

根据 Blockaid 和 PeckShield 的分析，此次攻击合计损失约 201 万美元：其中 FET 被盗约 153 万至 156 万美元，NTX 未经授权铸造导致损失约 45 万至 46 万美元；两起攻击均被关联至同一个攻击者钱包集群。

为何 NTX 暴跌 95% 而 FET 未受同等冲击？

根据文章分析，FET 攻击是移除转换器中的既有代币（供应量减少），对整体流通供应的影响有限；NTX 攻击是未经授权铸造 4.085 亿枚新代币（供应量急剧膨胀），破坏了代币供应的完整性并引发抛售，导致 NTX 24 小时内下跌近 95%，触及历史最低点 0.00004075 美元。

TokenConversionManagerV3 存在什么技术漏洞？

根据 SlowMist 的分析，TokenConversionManagerV3 的 conversionIn() 函数仅依赖单一 EOA 的 ECDSA 签名，缺乏交易限额控制（checkLimits）和链上销毁/锁定验证。一旦授权密钥泄露，攻击者只需提供合法签名即可耗尽转换器中的所有 FET 余额。