Вразливість «нескінченного карбування» у мості Axelar та Secret Network: втрата $4,67 млн та реакція ринку
19 червня команда блокчейн-проекту Axelar розкрила інцидент, пов'язаний з експлуатацією мосту між Axelar та протоколом Secret Network. У результаті атаки зловмисник вивів активи на суму близько $4,67 млн, використавши критичну вразливість, відому як «нескінченний мінг» (infinite mint).
Згідно з аналізом, проведеним основним розробником Axelar — Common Prefix, баг було виявлено в смарт-контракті ICS-20 на стороні Secret Network у рамках IBC-з'єднання екосистеми Cosmos. Алгоритм, призначений для створення «обгорнутих» версій активів (saToken), не перевіряв, з якого каналу надходила вхідна транзакція. Це дозволило атакуючому сфальсифікувати депозити та випускати токени без реального забезпечення.
Зловмисник запустив у Cosmos власний ланцюжок з одним валідатором, з якого надсилав пакети з підробленими номіналами активів. Крадіжка залишалася непоміченою протягом семи днів, що свідчить про складність виявлення подібних вразливостей у кросчейн-інфраструктурі.
Масштаб та реакція
Інцидент торкнувся виключно монет saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали. Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб зупинити нові несанкціоновані перекази. Команда координує дії з біржами та правоохоронними органами для відстеження коштів та сприяння їх поверненню.
Незважаючи на повідомлення про крадіжку, ціна токена Secret (SCRT) у моменті підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 млн. При цьому на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування.
Аналітичний коментар
Цей інцидент підкреслює фундаментальну проблему безпеки в кросчейн-мостах, особливо тих, що використовують складні контракти з модифікованими протоколами. Вразливість «нескінченного мінта» — класичний приклад того, як недостатня валідація вхідних даних може призвести до необмеженої емісії активів. Ринок, однак, відреагував несподівано: короткострокове зростання SCRT вказує на те, що інвестори можуть сприймати подібні атаки як тимчасові збої, а не системні загрози. У довгостроковій перспективі такі події неминуче підривають довіру до децентралізованих фінансових мостів, що вимагає від розробників більш жорстких заходів з аудиту та моніторингу.