Злом кроссчейн-мосту Axelar та Secret Network: вразливість «нескінченного карбування» обійшлася у $4,67 млн
19 червня блокчейн-інфраструктура Axelar офіційно підтвердила інцидент безпеки, пов'язаний з мостом, що з'єднує її мережу з протоколом Secret Network. Внаслідок експлуатації критичної вразливості зловмисник вивів активи на суму близько $4,67 млн. Ключовою особливістю атаки стало використання так званого «нескінченного мінту» — методу, що дозволяє необмежено створювати токени без реального забезпечення.
Згідно з даними аналітичної команди Common Prefix, яка виступає основним розробником Axelar, прогалина була виявлена в смарт-контракті ICS-20 на стороні Secret Network, що працює через IBC-з'єднання в екосистемі Cosmos. Контракт відповідав за створення «обгорнутих» версій активів (saToken), але не перевіряв, з якого саме каналу надходить вхідна транзакція. Це дозволило атакуючому сфабрикувати депозити та випускати токени без будь-якого забезпечення.
Процес атаки не вимагав дозволів: хакер запустив власний ланцюжок у Cosmos з одним валідатором, звідки пересилав пакети з фіктивними номіналами активів. Примітно, що крадіжка залишалася непоміченою протягом семи днів — це вказує на недостатню оперативність моніторингу мостових контрактів.
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб зупинити подальші несанкціоновані перекази. Команда координує дії з біржами та правоохоронними органами для відстеження коштів та сприяння їх поверненню. Інцидент торкнувся виключно монет saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали.
Незважаючи на повідомлення про крадіжку, ціна токена Secret (SCRT) відреагувала несподівано: в моменті актив підскочив майже на 6%, досягнувши $0,06. Після корекції SCRT торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 млн. Однак варто зазначити, що на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування — це підкреслює глибокий спад інтересу до проекту.
Мій професійний коментар: Даний інцидент — чергове нагадування про системні ризики кросчейн-мостів, особливо тих, що використовують модифіковані контракти без належної верифікації каналів. Вразливість «нескінченного мінту» залишається однією з найнебезпечніших для DeFi, і її експлуатація протягом тижня без виявлення свідчить про необхідність впровадження автоматизованих систем аудиту в реальному часі. Для інвесторів це сигнал: довіряти мостам можна лише після ретельної перевірки їх архітектури та історії безпеки.