Злом мосту Axelar та Secret Network: вразливість «нескінченного карбування» обійшлася у $4,67 млн
19 червня стало відомо про серйозний інцидент в екосистемі кроссчейн-мостів. Зловмисник використав вразливість у смарт-контракті ICS-20 на стороні Secret Network, що дозволило йому вивести активи на суму близько $4,67 млн. Атака, заснована на багу «нескінченного мінту», залишалася непоміченою протягом семи днів, що свідчить про недостатню оперативну реакцію з боку команди проекту.
Як встановили аналітики, баг був закладений у модифіковану версію контракту CW20-ICS20, який відповідає за взаємодію з Cosmos IBC-з'єднанням. Алгоритм створював «обгорнуті» версії активів (saToken), але не перевіряв, з якого каналу надходила вхідна транзакція. Це критичне упущення дозволило атакуючому сфальсифікувати депозити та випускати токени без реального забезпечення.
Деталі атаки: як хакер обійшов захист
Оскільки операції не вимагали дозволу, зловмисник запустив новий Cosmos-ланцюжок з одним валідатором. З цієї підконтрольної мережі він пересилав пакети з фейковими номіналами активів, які контракт на Secret Network приймав як реальні депозити. У результаті були згенеровані незабезпечені saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH.
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб зупинити нові несанкціоновані перекази. Команда координує дії з біржами та правоохоронними органами для відстеження коштів та сприяння їх поверненню. Важливо зазначити, що основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали — інцидент має локальний характер.
Реакція ринку: парадоксальне зростання SCRT
Незважаючи на повідомлення про крадіжку, ціна токена Secret (SCRT) у момент підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить ~$20 млн. Це парадоксальне зростання, ймовірно, пов'язане з тим, що ринок сприйняв інцидент як ізольований та такий, що не загрожує базовому протоколу Secret Network.
При цьому на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування. Це наочно демонструє, наскільки глибоко альткоїн просів за останні роки, і як навіть позитивні новини не можуть повернути його до колишніх висот.
Експертний коментар: Цей інцидент — чергове нагадування про те, що вразливості в кроссчейн-мостах залишаються однією з найгостріших проблем індустрії. Баг «нескінченного мінту», який не був виявлений протягом тижня, вказує на необхідність частіших аудитів та впровадження систем автоматичного моніторингу. Поки команди покладаються на ручне виявлення, ми будемо бачити подібні атаки знову і знову.