Злом мосту Axelar та Secret Network: вразливість «нескінченної емісії» призвела до крадіжки $4,67 млн
19 червня 2026 року блокчейн-проєкт Axelar офіційно підтвердив інцидент, пов'язаний із зламом кроссчейн-мосту, що з'єднує його з протоколом Secret Network. Зловмиснику вдалося вивести близько $4,67 млн, використовуючи критичну вразливість, відому як «нескінченний мінг» (infinite mint).
Аналіз, проведений командою розробників Common Prefix, показав, що баг був закладений у модифікованому смарт-контракті CW20-ICS20 на стороні Secret Network, що працює в рамках IBC-з'єднання з екосистемою Cosmos. Проблема полягала в тому, що алгоритм, відповідальний за створення «обгорнутих» версій активів (saToken), не перевіряв походження вхідних транзакцій. Це дозволило атакуючому сфальсифікувати депозити та емітувати токени без будь-якого реального забезпечення.
Для реалізації атаки зловмисник запустив у Cosmos власний ланцюжок з одним валідатором. З цього ланцюжка він надсилав пакети з підробленими номіналами активів, які контракт на Secret Network приймав за легітимні. Крадіжка залишалася непоміченою протягом семи днів, що підкреслює серйозні прогалини в моніторингу безпеки.
Реакція та наслідки
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим переказам. Наразі команда координує дії з біржами та правоохоронними органами для відстеження викрадених коштів та їх можливого повернення.
Важливо зазначити, що інцидент торкнувся виключно монет saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання, а також нативні активи Secret Network залишилися недоторканими.
Реакція ринку
Незважаючи на серйозність зламу, ринок відреагував несподівано. Ціна токена Secret (SCRT) у момент підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 млн.
Для контексту: на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування. Це показує, наскільки далеко проєкт відійшов від своїх пікових значень.
Мій аналіз
Цей інцидент — чергове нагадування про те, що складність кроссчейн-мостів робить їх вразливими для атак, особливо коли йдеться про модифіковані контракти. Вразливість «нескінченної емісії» — класична проблема, яку можна було виявити на етапі аудиту. Ринок, судячи з усього, вже заклав у ціну SCRT настільки низькі очікування, що навіть така новина не викликала паніки. Однак для довгострокової репутації проєкту це серйозний удар, який може сповільнити відновлення довіри інвесторів.