Експлойт мосту Axelar та Secret Network: вразливість «нескінченної емісії» обійшлася у $4,67 млн
19 червня блокчейн-інфраструктура Axelar підтвердила факт злому кроссчейн-мосту, що з'єднує з протоколом Secret Network. У результаті атаки зловмиснику вдалося вивести активи на суму близько $4,67 млн, скориставшись критичною вразливістю, відомою як «нескінченний мінг» (infinite mint).
Примітно, що крадіжка залишалася непоміченою протягом семи днів. Це вказує на складність моніторингу міжмережевих транзакцій та необхідність впровадження більш просунутих систем раннього виявлення аномалій.
Механіка атаки: підміна каналів та фальшиві депозити
Як показав аналіз, проведений командою розробників Common Prefix, баг був закладений у смарт-контракті ICS-20 на стороні Secret Network, що працює в екосистемі Cosmos через з'єднання IBC. Основна проблема полягала у відсутності валідації вхідного каналу: контракт створював «обгорнуті» версії активів (saToken), не перевіряючи, з якого саме каналу надходила транзакція.
Це дозволило атакуючому сфальсифікувати депозити. Він запустив власний ланцюжок Cosmos з одним валідатором і почав надсилати пакети з фальшивими номіналами активів. Оскільки операція не вимагала дозволу, зловмисник міг нескінченно емітувати токени без будь-якого реального забезпечення.
Реакція та наслідки
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб заблокувати подальші несанкціоновані перекази. Команда координує дії з біржами та правоохоронними органами для відстеження та можливого повернення коштів.
Важливо підкреслити: інцидент торкнувся лише конкретних монет — saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network залишилися недоторканими.
Реакція ринку: парадоксальне зростання
Незважаючи на новину про крадіжку, ціна нативного токена Secret (SCRT) несподівано зросла майже на 6%, досягнувши позначки $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 млн.
При цьому варто зазначити, що від історичного максимуму в жовтні 2021 року ($10,64) SCRT відстає на 99,5%. Поточне зростання, швидше за все, є короткостроковим відскоком на тлі перекупленості або спекуляцій, а не ознакою фундаментального відновлення.
Експертна думка: Цей інцидент — чергове нагадування про те, що вразливості в смарт-контрактах кроссчейн-мостів залишаються однією з найнебезпечніших загроз для DeFi-екосистеми. Відсутність перевірки каналу вхідного пакета — груба помилка на етапі проєктування, яку можна було б виявити при більш ретельному аудиті. Ринок, хоч і відреагував зростанням SCRT, у довгостроковій перспективі може зіткнутися з втратою довіри до мостових рішень, якщо подібні баги не будуть усуватися на системному рівні.