Вразливість «нескінченного карбування» призвела до злому мосту Axelar та Secret Network: збиток $4,67 млн
19 червня 2026 року блокчейн-інфраструктурний проект Axelar офіційно підтвердив факт експлуатації критичної вразливості в кроссчейн-мості, що з'єднує його мережу з протоколом конфіденційних обчислень Secret Network. Зловмиснику вдалося вивести цифрові активи на суму близько $4,67 млн, використовуючи баг, відомий як «нескінченний мінт» (infinite mint).
Згідно з даними, наданими командою розробників Common Prefix — основним контриб'ютором протоколу Axelar, інцидент залишався непоміченим протягом семи днів. Вразливість було виявлено в смарт-контракті ICS-20, розгорнутому на стороні Secret Network у рамках IBC-з'єднання екосистеми Cosmos. Ключова проблема полягала у відсутності верифікації вхідного каналу транзакції: контракт створював «обгорнуті» версії активів (saToken) без перевірки джерела депозиту.
Атакуючий скористався цим, запустивши власний ланцюжок у Cosmos з єдиним валідатором. Через нього він передавав підроблені пакети з фіктивними номіналами активів, що дозволяло випускати токени без реального забезпечення. У результаті було згенеровано незабезпечені монети saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH.
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим переказам. Наразі команда координує дії з криптовалютними біржами та правоохоронними органами для відстеження вкрадених коштів та їх можливого повернення. Важливо підкреслити, що основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали.
Ринкова реакція на інцидент виявилася несподіваною. Ціна токена Secret (SCRT) миттєво підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується близько $0,058, зберігаючи добове зростання приблизно на 3%. Капіталізація становить близько $20 млн. При цьому варто зазначити, що поточний курс знаходиться на 99,5% нижче історичного максимуму в $10,64, зафіксованого в жовтні 2021 року.
Моя експертна думка: Даний інцидент — ще одне нагадування про системні ризики, пов'язані з кроссчейн-мостами, особливо тими, що використовують модифіковані контракти без належного аудиту безпеки. Відсутність перевірки вхідного каналу — це базова помилка, якої не повинно бути в протоколах, що керують мільйонами доларів. Інвесторам слід уважніше ставитися до проектів, чиї мости не пройшли багаторазовий аудит і не мають перевірених механізмів верифікації транзакцій.