Критична вразливість «нескінченного карбування»: Злом мосту Axelar та Secret Network на $4,67 млн
19 червня 2026 року команда міжмережевого протоколу Axelar офіційно підтвердила факт експлуатації критичної вразливості в мосту, що з'єднує їхню інфраструктуру з мережею Secret Network. Зловмисник зумів вивести цифрові активи на суму близько $4,67 мільйона, використовуючи класичний вектор атаки — «нескінченний мінт» (infinite mint bug). Примітно, що інцидент залишався непоміченим протягом семи днів, що вказує на серйозні прогалини в системах моніторингу.
Як було реалізовано атаку
Мій аналіз ситуації, заснований на даних від провідного розробника Axelar — команди Common Prefix, показує, що баг локалізувався в смарт-контракті ICS-20 на стороні Secret Network. Цей контракт відповідав за створення «обгорнутих» версій активів (saToken) в екосистемі Cosmos IBC. Критична помилка полягала у відсутності валідації каналу, з якого надходила вхідна транзакція. Замість того щоб перевіряти легітимність джерела, контракт сліпо довіряв будь-якому пакету даних.
Скориставшись цим, атакуючий запустив власний ланцюжок Cosmos з єдиним валідатором. Через цей канал він надсилав підроблені пакети з довільними номіналами активів, що дозволяло йому необмежено емітувати токени без будь-якого реального забезпечення. По суті, це був класичний випадок маніпуляції механізмом консенсусу на рівні додатку.
Масштаб збитків та реакція
Комітет з надзвичайних ситуацій Axelar оперативно відреагував, відключивши з'єднання Secret та Secret-SNIP, щоб запобігти подальшим витокам. Наразі команда координує дії з біржами та правоохоронними органами для відстеження вкрадених коштів. Важливо підкреслити, що, згідно із заявою, інцидент обмежений конкретними монетами: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали.
Цікаво, що новина про злом не викликала панічних розпродажів. Навпаки, ціна токена Secret (SCRT) в моменті підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 мільйонів. Однак не варто тішити себе ілюзіями: на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування. Це свідчить про глибокий ведмежий тренд, який жоден злом не здатен переломити.
Мій експертний погляд
Даний інцидент — чергове нагадування про крихкість кросчейн-мостів, особливо тих, що використовують модифіковані версії стандартних контрактів. Відсутність перевірки каналу вхідної транзакції — це базова помилка, яка не повинна була пройти аудит. Ринок, схоже, вже звик до таких зломів, що й пояснює відсутність серйозної просадки SCRT. Однак для інвесторів це тривожний сигнал: якщо команда не зможе забезпечити безпеку базового з'єднання, довіра до мережі буде підірвана в довгостроковій перспективі, незважаючи на короткострокове зростання.