Axelar розкриває експлойт мосту Secret Network: вразливість «нескінченної емісії» коштувала $4,67 млн
19 червня блокчейн-інфраструктурний проект Axelar офіційно підтвердив факт зламу свого кроссчейн-мосту, що з'єднує екосистему з протоколом Secret Network. У результаті атаки зловмисник вивів активи на суму приблизно $4,67 млн, скориставшись критичною вразливістю, відомою як «нескінченний мінтинг» (infinite mint).
Інцидент залишався непоміченим протягом семи днів, що підкреслює складність моніторингу міжмережевих транзакцій у сучасних L0-протоколах. Аналіз, проведений командою Common Prefix — основним розробником Axelar, показав, що вразливість була закладена в модифікованому смарт-контракті CW20-ICS20 на стороні Secret Network, який використовується у з'єднанні IBC (Inter-Blockchain Communication) Cosmos.
Механізм атаки та масштаб збитків
Ключова проблема полягала у відсутності перевірки каналу-відправника під час обробки вхідних транзакцій. Алгоритм контракту створював «обгорнуті» версії активів (saToken), не верифікуючи, з якого саме каналу надійшов депозит. Це дозволило атакуючому розгорнути власний кастомний ланцюжок Cosmos з єдиним валідатором і надсилати з нього пакети з довільними номіналами активів, по суті, карбуючи токени без реального забезпечення.
Експлойт торкнувся конкретного пулу активів: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Важливо зазначити, що основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network (SCRT) залишилися недоторканими. Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб заблокувати подальші несанкціоновані перекази. Зараз команда координує дії з біржами та правоохоронними органами для відстеження та потенційного повернення коштів.
Реакція ринку та контекст
Незважаючи на серйозність інциденту, ринок відреагував парадоксально. Ціна токена Secret (SCRT) у момент підскочила майже на 6%, досягнувши позначки $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3% при капіталізації порядку $20 млн. Для контексту: на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування. Цей випадок — чергове нагадування про те, що навіть у період «ведмежого» ринку хакери не послаблюють активності, а вразливості в кроссчейн-інфраструктурі залишаються однією з найгарячіших точок для атак.
Мій експертний висновок: цей інцидент знову піднімає питання про необхідність впровадження формальної верифікації смарт-контрактів та багаторівневих систем аудиту для IBC-з'єднань. Поки індустрія не стандартизує перевірки каналів і не впровадить механізми «нульової довіри» (zero-trust) на рівні мостів, подібні атаки повторюватимуться, експлуатуючи базові логічні помилки в контрактах.