Злом мосту Axelar та Secret Network: вразливість «нескінченного карбування» на $4,67 млн
19 червня блокчейн-проєкт Axelar офіційно підтвердив злом мосту, що з'єднує його з протоколом Secret Network. У результаті атаки зловмисник вивів близько $4,67 млн, експлуатуючи критичну вразливість, відому як «нескінченний карбування» (infinite-mint bug).
Як показують результати мого аналізу, інцидент залишався непоміченим протягом семи днів. Основний розробник Axelar, команда Common Prefix, виявила, що баг був закладений у смарт-контракті ICS-20 на стороні Secret Network, який використовується в IBC-з'єднанні екосистеми Cosmos. Проблема полягала в тому, що алгоритм створював «обгорнуті» версії активів (saToken), але не перевіряв, з якого саме каналу надходила вхідна транзакція. Це дозволило атакуючому підробити депозити та емітувати токени без реального забезпечення.
Оскільки операції в мережі Cosmos не вимагали дозволів, зловмисник запустив власний ланцюжок з одним валідатором. З нього він надсилав пакети з фальшивими номіналами активів, що й призвело до несанкціонованої емісії. У відповідь комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим переказам. Зараз команда координує дії з біржами та правоохоронними органами для відстеження викрадених коштів та їх повернення.
Важливо підкреслити, що інцидент торкнувся лише певних активів: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network залишилися недоторканими. Це свідчить про локальний характер атаки, але не применшує серйозності вразливості в міжмережевій інфраструктурі.
Незважаючи на шокуючі новини, ринок відреагував парадоксально. Ціна токена Secret (SCRT) на момент публікації підскочила майже на 6%, досягнувши $0,06. Після невеликої корекції актив торгується близько $0,058, зберігаючи добове зростання приблизно на 3%. Капіталізація становить близько $20 млн. Для порівняння: на історичному максимумі в жовтні 2021 року SCRT коштував $10,64 — це на 99,5% вище поточних котирувань. Така динаміка вказує на те, що ринок, можливо, відіграє факт швидкого реагування команди, а не сам злом.
Експертна думка Cryptalist: Даний інцидент — чергове нагадування про те, що міжмережеві мости залишаються найвразливішою точкою в DeFi. Вразливість «нескінченного карбування» — класична помилка, пов'язана з недостатньою валідацією каналів у IBC-протоколах. Поки команди не впровадять більш суворі механізми перевірки на рівні контрактів, подібні атаки повторюватимуться. Інвесторам варто уважніше ставитися до активів, що проходять через такі мости, особливо в періоди високої волатильності.