Злом мосту Axelar та Secret Network: вразливість «нескінченного карбування» обійшлася у $4,67 млн
19 червня команда Axelar офіційно підтвердила факт експлуатації критичної вразливості в кроссчейн-мості, що з'єднує їхній протокол із Secret Network. Зловмисник скористався багом «нескінченного карбування» (infinite mint), що дозволило йому вивести цифрові активи на суму близько $4,67 млн. Примітно, що крадіжка залишалася непоміченою протягом семи днів — це вказує на недостатній моніторинг on-chain активності з боку операторів мосту.
Технічні деталі атаки
Згідно з аналізом, проведеним основним розробником Axelar — Common Prefix, вразливість була закладена в смарт-контракті ICS-20 на стороні Secret Network у рамках IBC-з'єднання Cosmos. Контракт відповідав за створення «обгорнутих» версій активів (saToken), але не перевіряв, з якого саме каналу надходила вхідна транзакція. Це дозволило атакуючому сфальсифікувати депозити та емітувати токени без жодного реального забезпечення.
Оскільки операції не вимагали дозволу, хакер розгорнув власний ланцюжок в екосистемі Cosmos з одним валідатором, звідки надсилав пакети з підробленими номіналами активів. Таким чином, він створив ілюзію легітимних переказів, хоча насправді просто «друкував» токени з повітря.
Реакція та масштаб інциденту
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб зупинити подальші несанкціоновані перекази. Команда координує дії з біржами та правоохоронними органами для відстеження коштів та сприяння їхньому поверненню. Згідно з офіційною заявою, інцидент торкнувся виключно монет saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network залишилися недоторканими.
Ринок не панікує
Незважаючи на серйозність інциденту, ринок відреагував несподівано спокійно. Ціна токена Secret (SCRT) миттєво підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить ~$20 млн. Однак варто зазначити, що на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування. Це свідчить про те, що ринок уже давно заклав ризики в ціну активу, і новина про злом не стала шоком.
Експертна думка
Цей інцидент знову підкреслює системну вразливість кроссчейн-мостів, побудованих на модифікованих контрактах без належного аудиту безпеки. Баг «нескінченного карбування» — класична помилка, яка мала бути виявлена на етапі тестування. Для інвесторів це черговий сигнал про те, що активи, заблоковані в мостах, несуть підвищений ризик, і диверсифікація за різними протоколами — не просто стратегія, а необхідність.