Експлойт мосту Axelar та Secret Network: вразливість «нескінченного карбування» призвела до втрати $4,67 млн
19 червня блокчейн-проєкт Axelar офіційно підтвердив злам кросчейн-мосту, що з'єднує його мережу з протоколом Secret Network. У результаті атаки зловмисник вивів приблизно $4,67 млн, скориставшись критичною вразливістю, відомою як «нескінченний мінг» (infinite mint bug). Примітно, що крадіжка залишалася непоміченою протягом семи днів — це вказує на недостатню оперативність систем моніторингу.
Деталі експлойту: як була реалізована атака
Згідно з аналізом, проведеним командою провідного розробника Axelar — Common Prefix, вразливість було виявлено в смарт-контракті ICS-20, модифікованому для роботи на стороні Secret Network у рамках IBC-з'єднання з екосистемою Cosmos. Контракт відповідав за створення «обгорнутих» версій активів Axelar (токенів типу saToken). Однак ключовий недолік полягав у відсутності перевірки каналу, з якого надходила вхідна транзакція. Це дозволило атакуючому сфабрикувати дані про депозити та випускати незабезпечені токени без будь-якого реального резервування.
Оскільки протокол не вимагав дозволу на виконання подібних операцій, зловмисник запустив власний кастомний ланцюжок у Cosmos з єдиним валідатором. З цієї підконтрольної мережі він надсилав пакети з фіктивними номіналами активів, які контракт на Secret приймав як легітимні, тим самим «надрукувавши» мільйони доларів у вигляді обгорнутих токенів.
Реакція та наслідки
Комітет з надзвичайних ситуацій Axelar негайно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим переказам. На даний момент команда координує дії з централізованими біржами та правоохоронними органами для відстеження вкрадених коштів та їх можливого повернення.
Важливо підкреслити, що інцидент торкнувся виключно обмеженого пулу активів: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network (SCRT) залишилися недоторканими. Незважаючи на це, ринок відреагував парадоксально: ціна токена SCRT миттєво підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація проєкту становить приблизно $20 млн. Для контексту: на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% вище поточних котирувань.
Мій експертний коментар: Даний інцидент — класичний приклад того, як навіть у зрілих екосистемах, таких як Cosmos IBC, банальна логічна помилка в контракті може призвести до багатомільйонних втрат. Відсутність верифікації каналу-відправника — це фундаментальний прорахунок, який мав бути виявлений на етапі аудиту. Ринок, своєю чергою, демонструє дивовижну стійкість: зростання SCRT на тлі зламу свідчить про те, що інвестори сприймають цей випадок як ізольований збій, що не підриває довіру до самого протоколу Secret Network. Однак для Axelar це серйозний репутаційний удар, який потребуватиме посилення безпеки всіх мостових з'єднань.