Злом мосту Axelar та Secret Network: вразливість «нескінченної емісії» призвела до втрати $4,67 млн
19 червня блокчейн-проєкт Axelar розкрив факт компрометації мосту, що пов'язує його з протоколом Secret Network. У результаті атаки зловмисник вивів близько $4,67 млн, використовуючи критичну вразливість, відому як «нескінченний мінг» (infinite mint). Інцидент залишався непоміченим протягом семи днів, що вказує на недостатню оперативність моніторингу в даному сегменті.
За даними основного розробника Axelar — команди Common Prefix, баг було виявлено в смарт-контракті ICS-20 на стороні Secret у рамках IBC-з'єднання Cosmos. Контракт створював «обгорнуті» версії активів (saToken), але не перевіряв, з якого саме каналу надходила вхідна транзакція. Це дозволило атакуючому сфальсифікувати депозити та випускати токени без реального забезпечення. Оскільки операції не вимагали дозволу, зловмисник запустив у Cosmos окремий ланцюжок з одним валідатором, з якого пересилав пакети з фіктивними номіналами активів.
Комітет з надзвичайних ситуацій Axelar негайно відключив з'єднання Secret та Secret-SNIP, щоб зупинити нові несанкціоновані перекази. Команда координує дії з біржами та правоохоронними органами для відстеження коштів та сприяння їх поверненню. Важливо підкреслити, що інцидент обмежений монетами saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали.
Незважаючи на негативні новини, ціна токена Secret (SCRT) у момент підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 млн. При цьому на історичному максимумі в жовтні 2021 року SCRT коштував $10,64 — це на 99,5% вище поточних котирувань, що свідчить про глибокий ведмежий тренд для даного активу.
Аналітичний коментар: Подібні інциденти знову піднімають питання безпеки кросчейн-мостів, які залишаються однією з найуразливіших точок в екосистемі DeFi. Вразливість «нескінченного мінту» — класична помилка, пов'язана з недостатньою валідацією вхідних даних. На тлі історичного падіння SCRT на 99,5% від максимуму, ринок, схоже, вже заклав у ціну ризики подібних збоїв, що й пояснює короткострокове зростання після розкриття інциденту — інвестори могли сприйняти його як «відому невідомість».