Злом мосту Axelar та Secret Network: вразливість «нескінченного карбування» обійшлася у $4,67 млн
19 червня блокчейн-проєкт Axelar офіційно підтвердив факт злому кроссчейн-мосту, що з'єднує його екосистему з протоколом Secret Network. Атакуючий використав критичну вразливість, відому як «нескінченний мінт», і вивів активи на суму близько $4,67 млн. Інцидент залишався непоміченим протягом семи днів, що підкреслює недостатню оперативність моніторингу в децентралізованих системах.
Деталі атаки: як зловмисник обійшов захист
Згідно з аналізом, проведеним основним розробником Axelar — командою Common Prefix, баг було виявлено в смарт-контракті ICS-20, модифікованому для роботи на стороні Secret Network у рамках IBC-з'єднання Cosmos. Вразливість полягала у відсутності перевірки каналу, з якого надходила вхідна транзакція. Це дозволило атакуючому сфабрикувати депозити та випускати «обгорнуті» версії активів (saToken) без реального забезпечення.
Для експлуатації вразливості зловмисник запустив власний ланцюжок в екосистемі Cosmos з єдиним валідатором. Через цей ланцюжок він надсилав пакети з підробленими номіналами активів, що дозволяло генерувати токени на Secret Network без будь-яких резервів.
Реакція та наслідки
Комітет з надзвичайних ситуацій Axelar негайно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим переказам. Команда координує дії з біржами та правоохоронними органами для відстеження коштів та їх можливого повернення. Важливо зазначити, що інцидент торкнувся лише монет saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network залишилися недоторканими.
Незважаючи на новину про крадіжку, ринок відреагував парадоксально: ціна токена Secret (SCRT) підскочила майже на 6%, досягнувши $0,06, а потім скоригувалася до $0,058, зберігши добове зростання близько 3%. Капіталізація становить приблизно $20 млн. Для порівняння, на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% вище поточних котирувань. Це свідчить про те, що інвестори поки що не бачать в цьому інциденті фундаментальної загрози для мережі, хоча вразливість у мостах залишається однією з найгостріших проблем DeFi.
Експертний аналіз
Даний випадок знову підтверджує, що кроссчейн-мости залишаються «ахіллесовою п'ятою» децентралізованих екосистем. Вразливість «нескінченного мінту» — класична помилка в логіці смарт-контрактів, яка потребує ретельного аудиту всіх перевірок каналів та забезпечень. У довгостроковій перспективі, якщо команди не посилять безпеку мостів, такі інциденти будуть підривати довіру до міжмережевих протоколів, особливо в умовах падаючого ринку, де кожен долар на рахунку.