Критична вразливість «нескінченного мінту» в мосту Axelar та Secret Network: викрадення на $4,67 млн
19 червня блокчейн-інфраструктурний проєкт Axelar офіційно підтвердив факт злому кроссчейн-мосту, що з'єднує його мережу з протоколом Secret Network. У результаті атаки зловмиснику вдалося вивести цифрові активи на суму приблизно $4,67 млн. Ключовою причиною інциденту стала експлуатація вразливості, відомої як «нескінченний мінт» (infinite mint bug).
Технічні деталі атаки
Як встановила команда розробників Common Prefix, баг було виявлено в модифікованій версії смарт-контракту CW20-ICS20, розгорнутого на стороні Secret Network у рамках IBC-з'єднання з екосистемою Cosmos. Проблема полягала у відсутності перевірки каналу, з якого надходили вхідні транзакції. Алгоритм контракту автоматично створював «обгорнуті» версії активів (saToken), не верифікуючи легітимність депозиту. Це дозволило атакуючому сфабрикувати депозити та необмежено емітувати токени без будь-якого реального забезпечення.
Примітно, що зловмисник не потребував дозволу для запуску операцій. Він просто розгорнув у Cosmos власний ланцюжок з одним валідатором, звідки пересилав пакети з фіктивними номіналами активів. Крадіжка залишалася непоміченою протягом семи днів — тривожний сигнал про недоліки в моніторингу on-chain активності.
Масштаб та реакція
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим переказам. Наразі команда координує дії з криптовалютними біржами та правоохоронними органами для відстеження та можливого повернення викрадених коштів. Важливо підкреслити, що інцидент торкнувся виключно монет saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали.
Ринкова реакція та контекст
Незважаючи на таку серйозну подію, ринок відреагував несподівано позитивно. Ціна нативного токена Secret (SCRT) у момент підскочила майже на 6%, досягнувши позначки $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Поточна капіталізація становить приблизно $20 млн. Однак варто нагадати, що на історичному максимумі в жовтні 2021 року SCRT коштував $10,64 — це означає падіння на 99,5% від пікових значень, що підкреслює глибокий ведмежий тренд для даного активу.
Мій експертний аналіз: Даний інцидент — ще одне нагадування про те, що вразливості в смарт-контрактах мостів залишаються однією з найнебезпечніших загроз у DeFi. Відсутність базової перевірки каналу в ICS-20 контракті — груба архітектурна помилка, яка не повинна була пройти аудит. Зростання ціни SCRT на тлі злому швидше свідчить про короткострокову спекулятивну ліквідацію шортів, ніж про реальне відновлення довіри до проєкту. Інвесторам варто вкрай обережно ставитися до активів, чия вартість впала на 99% від історичних максимумів, оскільки ризики подальшої девальвації та технічних проблем залишаються високими.