Сломали не контракт, а управление ключами. Бэкенд моста SingularityNET подписывал конвертации одним аккаунтом, и функция `conversionIn()` контракта TokenConversionManagerV3 принимала эту подпись как единственную авторизацию, без лимитов на объём. 19 сентября в 20:21 UTC атакующий вывел 8 721 530 FET — около $1,55 млн. В 20:50, то есть примерно через полчаса, а не «в течение минуты», тем же кошельком был задействован спящий minter-ключ NuNet и напечатано 408,5 млн NTX — около 42% всего предложения проекта. 20 сентября добавились 260 млн AGIX и 53,8 млн WMTx на Ethereum.
Цифра $16,77 млн, которая разошлась по заголовкам, — это оценка PeckShield всех активов на кошельках атакующего: 198,3 млн AGIX (~$14,42 млн), 649 ETH (~$1,67 млн), 33,5 млн WMTx (~$627 тыс). Основная её часть — AGIX, который он же и напечатал, а не увёл у держателей; реально выведено из контракта конвертации $1,55 млн. Fetch.ai остановила конвертации AGIX→FET, опубликовала он-чейн разбор и сообщила, что вместе с SingularityNET деактивирует затронутые кошельки и контракты. Сам мост — инфраструктура SingularityNET, и отдельного заявления её команда на момент публикации не делала.
NTX ушёл в пол: падение оценивают от −65% до −95%, исторический минимум $0,00004075 зафиксирован 20 сентября. Практический вывод для держателя простой: часть AGIX, WMTx и NTX в обращении сейчас напечатана атакующим, и пока эмитенты не закончат с заморозкой, любая сделка этими токенами идёт с неизвестной долей воздуха в предложении.