Злом мосту Axelar та Secret Network: вразливість «нескінченного карбування» призвела до втрати $4,67 млн
19 червня блокчейн-проєкт Axelar офіційно підтвердив факт злому міжмережевого мосту, що з'єднує його з протоколом Secret Network. Зловмисник зумів вивести активи на суму близько $4,67 млн, скориставшись критичною вразливістю, відомою як «нескінченний карбування» (infinite-mint bug). Інцидент залишався непоміченим протягом семи днів, що свідчить про недостатню оперативність моніторингу безпеки з боку Secret Network.
Як стався злом
Згідно з аналізом провідного розробника Axelar — команди Common Prefix, вразливість була закладена в модифікованому смарт-контракті CW20-ICS20 на стороні Secret Network. Цей контракт відповідав за створення «обгорнутих» версій активів (saToken) в екосистемі Cosmos через IBC-з'єднання. Проблема полягала у відсутності перевірки каналу, з якого надходила вхідна транзакція. Атакуючий запустив власний ланцюжок Cosmos з одним валідатором і почав надсилати пакети з підробленими номіналами активів. Протокол, не маючи механізму верифікації, беззастережно випускав токени без реального забезпечення.
Масштаб та наслідки
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб заблокувати подальші несанкціоновані перекази. Наразі команда координує дії з біржами та правоохоронними органами для відстеження вкрадених коштів та можливого повернення. Важливо підкреслити, що інцидент торкнувся лише конкретних монет: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network не постраждали.
Реакція ринку
Незважаючи на шокуючу новину, ринок відреагував неоднозначно. Ціна токена Secret (SCRT) в момент підскочила майже на 6%, досягнувши позначки $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 млн. Однак варто зазначити, що поточні котирування знаходяться на 99,5% нижче історичного максимуму в $10,64, зафіксованого в жовтні 2021 року. Це свідчить про глибокий ведмежий тренд для SCRT, незважаючи на короткострокову волатильність.
Цей інцидент — чергове нагадування про те, що міжмережеві мости залишаються однією з найвразливіших точок у DeFi-екосистемі. Відсутність суворих перевірок каналів введення даних може призвести до катастрофічних наслідків, як це сталося з Axelar та Secret Network. На мою професійну думку, проєктам необхідно впроваджувати багаторівневі системи верифікації та автоматичні тригери для блокування підозрілих транзакцій у реальному часі, інакше подібні атаки стануть рутиною.