0G Foundation: Kontrakt został zaatakowany, skradziono 520 tysięcy $0G

ChainCatcher poinformował, że 0G Foundation opublikowało na platformie X informację o ukierunkowanym ataku, który naruszył ich kontrakt nagród. Atakujący wykorzystał funkcję awaryjnej wypłaty w kontrakcie nagród 0G, przeznaczonym do dystrybucji nagród sojuszu, kradnąc 520 010 tokenów $0G. Następnie te tokeny zostały przetransferowane i rozproszone za pośrednictwem Tornado Cash.

Atakujący uzyskał dostęp do ujawnionego klucza prywatnego na instancji Alibaba Cloud, która zarządzała stanem NFT oraz aktualizacjami nagród, przechowując klucz lokalnie. Z powodu poważnej luki w Next.js (CVE-2025-66478), która została wykorzystana 5 grudnia, wiele instancji Alibaba Cloud zostało zainfekowanych. Atakujący przemieszczał się lateralnie przez wewnętrzne adresy IP, a zakres ataku objął usługi kalibracyjne, węzły walidatorów, usługę Gravity NFT, usługę sprzedaży węzłów, obliczenia, Aiverse, Perpdex, Ascend i inne. Potwierdzona całkowita strata: 520 010 tokenów $0G, 9,93 ETH oraz 4 200 dolarów USDT. Poza kontraktem dystrybucji nagród, kluczowa infrastruktura łańcucha oraz środki użytkowników nie zostały naruszone.