Злом мосту Axelar та Secret Network: вразливість «нескінченного карбування» обійшлася у $4,67 млн
19 червня блокчейн-проєкт Axelar офіційно підтвердив злам кроссчейн-мосту, що з'єднує його мережу з протоколом Secret Network. Атака, заснована на експлуатації вразливості «нескінченного карбування», дозволила зловмиснику вивести активи на суму близько $4,67 млн. Інцидент залишався непоміченим протягом семи днів, що підкреслює складність моніторингу міжмережевих операцій в екосистемі Cosmos.
Технічні деталі атаки
Згідно з аналізом, проведеним основним розробником Axelar — Common Prefix, вразливість було виявлено в смарт-контракті ICS-20 на стороні Secret Network. Цей контракт відповідає за створення «обгорнутих» версій активів (saToken) у IBC-з'єднанні Cosmos. Однак ключова помилка полягала у відсутності перевірки каналу, з якого надходила вхідна транзакція. Це дозволило атакуючому сфальсифікувати депозити та випускати токени без реального забезпечення.
Зловмисник запустив власний ланцюжок Cosmos з одним валідатором, звідки надсилав пакети з фейковими номіналами активів. Оскільки операції не вимагали дозволу, він зміг нескінченно намайнити токени, поки вразливість не було виявлено.
Реакція та масштаб збитків
Комітет з надзвичайних ситуацій Axelar негайно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим переказам. Команда координує дії з біржами та правоохоронними органами для відстеження коштів та їх можливого повернення. Важливо зазначити, що інцидент торкнувся лише певних монет: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network залишилися недоторканими.
Ринок та наслідки
Незважаючи на повідомлення про крадіжку, ціна токена Secret (SCRT) продемонструвала несподіване зростання — майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить приблизно $20 млн. Примітно, що на історичному максимумі в жовтні 2021 року SCRT коштував $10,64, що на 99,5% перевищує поточні котирування. Це парадоксальне зростання може бути пов'язане з короткостроковою спекуляцією на тлі новин, але в довгостроковій перспективі довіра до протоколу може похитнутися.
Цей інцидент нагадує про ризики, пов'язані з застарілими контрактами в L2-мережах. Наприклад, у червні хакери двічі атакували Aztec, завдавши збитків на $2,19 млн та $2,15 млн. Вразливості «нескінченного карбування» стають все більш поширеними в екосистемі Cosmos, що вимагає від команд більш ретельного аудиту та впровадження механізмів перевірки каналів.
Думка експерта: Цей злам — черговий сигнал про те, що кроссчейн-мости залишаються слабкою ланкою в інфраструктурі DeFi. Відсутність перевірки каналів у IBC-з'єднаннях — це базова помилка, яку можна було б запобігти на етапі проєктування. Ринок, ймовірно, відреагує посиленням вимог до аудиту та посиленням моніторингу міжмережевих транзакцій, що в кінцевому підсумку піде на користь всій екосистемі.