Злом мосту Axelar та Secret Network: вразливість нескінченного карбування коштувала $4,67 млн
19 червня міжмережевий протокол Axelar офіційно підтвердив факт злому кроссчейн-мосту, що з'єднує його з мережею Secret Network. У результаті атаки зловмиснику вдалося вивести цифрові активи на суму близько $4,67 млн. Інцидент, як з'ясувалося, став можливим завдяки критичній вразливості, відомій як «нескінченний мінг» (infinite mint).
Згідно з даними аналізу, проведеного командою розробників Common Prefix, прогалина була виявлена в смарт-контракті ICS-20, модифікованому для роботи на стороні Secret Network в рамках IBC-з'єднання Cosmos. Проблема полягала у відсутності перевірки каналу, з якого надходили вхідні транзакції. Це дозволило атакуючому маніпулювати алгоритмом створення «обгорнутих» версій активів (saToken), підробляючи депозити та випускаючи токени без будь-якого реального забезпечення.
Для реалізації атаки зловмисник розгорнув в екосистемі Cosmos власний ланцюжок з одним валідатором. З цієї підконтрольної йому мережі він надсилав пакети з фіктивними номіналами активів, які міст приймав за легітимні. Примітно, що крадіжка залишалася непоміченою протягом семи днів.
Реакція та обмеження збитків
Після виявлення інциденту комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, що запобігло подальшим несанкціонованим переказам. Наразі команда проекту координує дії з біржами та правоохоронними органами для відстеження переміщення викрадених коштів та їх можливого повернення.
Важливо підкреслити, що атака торкнулася виключно обмеженого пулу активів: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання, а також нативні активи самої Secret Network залишилися недоторканими.
Реакція ринку
Незважаючи на тривожні новини, ринок відреагував несподівано. Ціна нативного токена Secret Network (SCRT) у момент зросла майже на 6%, досягнувши позначки $0,06. Після невеликої корекції актив торгується в районі $0,058, демонструючи добове зростання близько 3%. Ринкова капіталізація становить приблизно $20 млн. Для контексту: історичний максимум SCRT був зафіксований у жовтні 2021 року на рівні $10,64, що означає падіння більш ніж на 99,5% від пікових значень.
Цей інцидент знову підкреслює критичну важливість аудиту логіки міжмережевих взаємодій. Вразливості класу «нескінченний мінг» у мостах залишаються однією з найнебезпечніших загроз для DeFi, і ця атака слугує нагадуванням про те, що навіть зрілі проекти повинні приділяти першочергову увагу перевірці автентичності вхідних даних, а не просто довіряти каналу передачі.