Злом мосту Axelar та Secret Network: вразливість «нескінченної емісії» призвела до втрати $4,67 млн
19 червня блокчейн-інфраструктура Axelar офіційно підтвердила злам кроссчейн-мосту, що з'єднує її з протоколом Secret Network. Зловмисник вивів приблизно $4,67 млн, скориставшись критичною помилкою в смарт-контракті, відомою як «нескінченний мінг» (infinite mint bug). Примітно, що крадіжка залишалася непоміченою протягом семи днів — це свідчить про недостатній рівень моніторингу on-chain активності з боку Secret.
Технічні деталі атаки
Як встановила команда Common Prefix — основний розробник Axelar, вразливість була закладена в модифікованому контракті CW20-ICS20, що використовується в IBC-з'єднанні Cosmos на стороні Secret Network. Алгоритм відповідав за створення «обгорнутих» версій активів (saToken), але не верифікував канал, з якого надходила вхідна транзакція. Це дозволило атакуючому сфальсифікувати депозити та емітувати токени без будь-якого забезпечення.
Оскільки операції в мережі Cosmos не вимагали дозволу, зловмисник запустив власний ланцюжок з одним валідатором. З цього ланцюжка він надсилав пакети з фіктивними номіналами активів, які контракт на Secret приймав як легітимні, випускаючи незабезпечені saToken.
Реакція та наслідки
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим переказам. Наразі команда координує дії з біржами та правоохоронними органами для відстеження та можливого повернення коштів.
Інцидент торкнувся виключно обгорнутих активів: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network залишилися недоторканими. Це звужує зону ураження, але не применшує серйозності вразливості.
Реакція ринку
Незважаючи на публічне розкриття крадіжки, ціна нативного токена Secret Network (SCRT) парадоксально зросла майже на 6%, досягнувши $0,06. Після корекції актив торгується близько $0,058, зберігаючи добове зростання приблизно на 3%. Капіталізація становить близько $20 млн. Однак варто зазначити, що з історичного максимуму в жовтні 2021 року ($10,64) SCRT втратив понад 99,5% вартості.
Цей інцидент — чергове нагадування про те, що навіть за уявної надійності кроссчейн-мости залишаються однією з найвразливіших точок в екосистемі. Вразливість «нескінченного мінту» — класична, але, як показує практика, досі не до кінця викорінена. На мою думку, командам проєктів необхідно впроваджувати багаторівневі системи верифікації каналів та проводити аудит з акцентом на логіку емісії, а не лише на стандартні вектори атак.