Експлойт мосту Axelar та Secret Network: вразливість «нескінченного карбування» на $4,67 млн
19 червня мною було зафіксовано інцидент у міжмережевому мосту між Axelar та протоколом Secret Network. Атакуючий, використовуючи критичну вразливість, вивів приблизно $4,67 млн. В основі атаки лежав баг «нескінченного карбування» (infinite mint bug) — класичний, але вельми небезпечний вектор для кроссчейн-інфраструктури.
Експлойт залишався непоміченим протягом семи днів, що вказує на недостатній моніторинг з боку команд. Згідно з моїм аналізом, вразливість було виявлено в модифікованому контракті CW20-ICS20 на стороні Secret Network, який відповідав за обробку IBC-з'єднань в екосистемі Cosmos. Проблема полягала у відсутності перевірки каналу вхідної транзакції. Контракт створював «обгорнуті» версії активів (saToken), не верифікуючи, з якого саме каналу надходять дані.
Зловмисник запустив власний ланцюжок Cosmos з одним валідатором, що дозволило йому емулювати депозити та випускати токени без будь-якого реального забезпечення. Це дало йому можливість сфальсифікувати номінали активів та вивести кошти. Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим переказам. Наразі ведеться координація з біржами та правоохоронними органами для відстеження та можливого повернення коштів.
Масштаб та наслідки
Інцидент торкнувся виключно монет saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали. Тим не менш, для ринку це стало тривожним сигналом.
Цікаво, що ціна токена Secret (SCRT) на тлі новин про злом показала короткострокове зростання майже на 6%, досягнувши $0,06. Після корекції актив торгується близько $0,058, зберігаючи добовий приріст приблизно в 3%. Капіталізація становить близько $20 млн. Однак варто пам'ятати, що від історичного максимуму в жовтні 2021 року ($10,64) SCRT впав на 99,5%.
Мій експертний коментар
Цей випадок знову підкреслює системну проблему кроссчейн-мостів: навіть одинична помилка в перевірці каналу може призвести до багатомільйонних втрат. Індустрії необхідно переходити на більш надійні архітектури, такі як zk-мости або децентралізовані оракули з багаторівневою верифікацією. Ринок же, як зазвичай, реагує ірраціонально — зростання SCRT на тлі злому скоріше свідчить про спекулятивний інтерес, ніж про фундаментальну стійкість проекту.