0G Foundation: Vertrag wurde angegriffen, wodurch 520.000 $0G gestohlen wurden

ChainCatcher berichtet, dass die 0G Foundation auf der X-Plattform mitteilte, dass ein gezielter Angriff ihren Belohnungsvertrag kompromittiert hat. Der Angreifer nutzte die Notauszahlungsfunktion des 0G-Belohnungsvertrags, der für die Verteilung von Allianzprämien verwendet wird, und entwendete 520.010 $0G-Token. Diese Token wurden anschließend über Tornado Cash gebrückt und verteilt.

Der Angreifer erlangte Zugriff auf einen in einer Alibaba Cloud-Instanz geleakten privaten Schlüssel. Diese Instanz war für die Verwaltung des NFT-Status und die Aktualisierung der Belohnungen zuständig und speicherte den privaten Schlüssel lokal. Aufgrund einer schwerwiegenden Sicherheitslücke in Next.js (CVE-2025-66478), die am 5. Dezember ausgenutzt wurde, wurden mehrere Alibaba Cloud-Instanzen kompromittiert. Der Angreifer bewegte sich über interne IP-Adressen lateral und beeinflusste unter anderem Kalibrierungsdienste, Validator-Knoten, Gravity NFT-Dienste, Node-Verkaufsdienste, Computing, Aiverse, Perpdex und Ascend. Der bestätigte Gesamtschaden beläuft sich auf: 520.010 $0G, 9,93 ETH und 4.200 USDT. Abgesehen vom Belohnungsverteilungsvertrag waren weder die Kern-Chain-Infrastruktur noch die Gelder der Nutzer betroffen.