Злом мосту Axelar та Secret Network: вразливість «нескінченного карбування» призвела до втрати $4,67 млн
19 червня команда Axelar офіційно підтвердила злам кроссчейн-мосту, що з'єднує екосистему Axelar із протоколом Secret Network. Зловмиснику вдалося вивести кошти на суму близько $4,67 млн, використовуючи критичну вразливість, відому як «нескінченний мінт». Примітно, що атака залишалася непоміченою протягом семи днів, що вказує на недостатню моніторингову інфраструктуру з боку Secret Network.
Як встановив основний розробник Axelar — компанія Common Prefix, баг був закладений у смарт-контракті ICS-20, модифікованому для роботи з токенами Secret Network. Цей контракт, розгорнутий на з'єднанні Cosmos IBC, відповідав за створення «обгорнутих» версій активів (saToken). Ключова помилка полягала у відсутності перевірки каналу, з якого надходила вхідна транзакція. Це дозволило атакуючому сфальсифікувати депозити та емітувати токени без будь-якого реального забезпечення.
Для реалізації атаки зловмисник запустив власний ланцюжок в екосистемі Cosmos з єдиним валідатором. З цього ланцюжка він надсилав пакети з фіктивними номіналами активів, які контракт ICS-20 приймав за легітимні. Таким чином, хакер отримав можливість карбувати необмежену кількість токенів, не вносячи реальних коштів.
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб зупинити подальші несанкціоновані перекази. Команда проекту вже координує дії з біржами та правоохоронними органами для відстеження викрадених коштів та їх можливого повернення. Важливо підкреслити, що інцидент торкнувся виключно токенів saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші з'єднання IBC та нативні активи Secret Network не постраждали.
Незважаючи на повідомлення про крадіжку, ринок відреагував неоднозначно. Ціна токена Secret (SCRT) миттєво підскочила майже на 6%, досягнувши позначки $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація проекту становить приблизно $20 млн. Для контексту: на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування. Це падіння демонструє, наскільки сильно ринок вже дисконтував ризики, пов'язані з проектом.
Думка експерта. Цей інцидент — чергове нагадування про те, що кроссчейн-мости залишаються однією з найвразливіших точок у DeFi-інфраструктурі. Помилка в перевірці каналу — це банальний, але руйнівний баг, який міг бути виявлений на етапі аудиту. Ринок, тим не менш, проявив дивовижну стійкість: зростання SCRT після новини вказує на те, що інвестори, можливо, сприймають цю атаку як ізольовану проблему, а не системний збій. Однак довіра до мостів такого типу буде відновлена не скоро, особливо враховуючи, що вразливість залишалася непоміченою цілий тиждень.