Злом мосту Axelar та Secret Network: вразливість «нескінченного карбування» призвела до втрати $4,67 млн
19 червня блокчейн-інфраструктурний проєкт Axelar розкрив факт злому свого кроссчейн-мосту з протоколом Secret Network. Зловмиснику вдалося вивести близько $4,67 млн, використовуючи критичну вразливість у смарт-контракті.
Згідно з аналізом, проведеним командою Common Prefix, основного розробника Axelar, баг було виявлено в модифікованому контракті CW20-ICS20 на стороні Secret Network у з'єднанні IBC в екосистемі Cosmos. Проблема полягала в тому, що алгоритм створював «обгорнуті» версії активів (saToken), але не перевіряв, з якого каналу надходила вхідна транзакція. Це дозволило атакуючому сфальсифікувати депозити та випускати токени без реального забезпечення.
Оскільки операції не вимагали дозволу, зловмисник запустив у Cosmos ланцюжок з одним валідатором, з якого пересилав пакети з підробленими номіналами активів. Крадіжка залишалася непоміченою протягом семи днів.
Наслідки та реакція
Комітет з надзвичайних ситуацій Axelar негайно відключив з'єднання Secret та Secret-SNIP, щоб зупинити нові несанкціоновані перекази. Команда координує дії з біржами та правоохоронними органами для відстеження коштів та сприяння їх поверненню.
Інцидент обмежений монетами saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали.
Ринок та ціна SCRT
Незважаючи на повідомлення про крадіжку, ціна токена Secret (SCRT) миттєво підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить ~$20 млн. При цьому на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування.
Експертна думка: Даний інцидент — черговий тривожний сигнал для всієї екосистеми кроссчейн-мостів. Вразливості типу «нескінченного мінту» стають класичними, але розробники, як і раніше, не приділяють належної уваги валідації вхідних даних. Ринок, як зазвичай, відреагував парадоксально: зростання SCRT на тлі злому свідчить про те, що інвестори або не розуміють ризиків, або вважають, що збитки вже ізольовані. Однак фундаментальна безпека протоколів залишається під питанням.