Вразливість «нескінченного карбування» у мості Axelar та Secret Network призвела до втрати $4,67 млн — аналіз інциденту
19 червня я, як аналітик Cryptalist, зафіксував розкриття серйозного інциденту безпеки, що торкнувся кроссчейн-мосту між протоколами Axelar і Secret Network. Зловмисник зумів вивести близько $4,67 млн, експлуатуючи критичну вразливість, відому як «нескінченний мінг» (infinite mint).
Згідно з даними, наданими командою Common Prefix — основним розробником Axelar, баг було виявлено в смарт-контракті ICS-20, розгорнутому на стороні Secret Network у рамках з'єднання IBC (Inter-Blockchain Communication) екосистеми Cosmos. Цей контракт відповідав за створення «обгорнутих» версій активів (saToken), таких як saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Однак у його логіці була відсутня критична перевірка джерела вхідної транзакції — контракт не верифікував, з якого саме каналу надходять дані.
Як було реалізовано атаку
Ця вразливість дозволила атакуючому сфальсифікувати депозити. Оскільки операції в мережі Cosmos не вимагали дозволу, зловмисник запустив власний блокчейн-ланцюжок з єдиним валідатором. З цього підконтрольного ланцюжка він надсилав пакети з фіктивними номіналами активів, які контракт ICS-20 на Secret Network приймав за легітимні та випускав незабезпечені токени. Крадіжка залишалася непоміченою протягом семи днів.
Реакція та наслідки
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб зупинити нові несанкціоновані перекази. Команди координують дії з біржами та правоохоронними органами для відстеження та можливого повернення коштів. Важливо підкреслити, що інцидент обмежений зазначеними обгорнутими активами. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network (SCRT) не постраждали.
Незважаючи на шокуючі новини, ринок відреагував парадоксально. Ціна токена Secret (SCRT) у момент підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 млн. При цьому варто нагадати, що на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування.
Мій експертний коментар: Цей інцидент — ще одне болюче нагадування про те, що складність кроссчейн-взаємодій часто стає ахіллесовою п'ятою DeFi. Вразливість «нескінченного мінта» є класичною помилкою в контрактах, де не перевіряється джерело даних. Хоча реакція команд була швидкою, той факт, що крадіжку не помічали цілий тиждень, свідчить про необхідність впровадження більш просунутих систем моніторингу та аудиту в реальному часі. Для інвесторів це сигнал до підвищеної обережності при роботі з будь-якими новими або складними мостовими рішеннями.