Вразливість «нескінченного карбування» у мості Axelar та Secret Network призвела до крадіжки $4,67 млн
Кросчейн-протокол Axelar розкрив інцидент безпеки, пов'язаний з мостом, що з'єднує його з мережею Secret Network. Зловмисник скористався критичною вразливістю смарт-контракту, що дозволило йому вивести кошти на суму близько $4,67 млн. Крадіжка залишалася непоміченою протягом семи днів, що вказує на недостатню оперативність систем моніторингу.
В основі атаки лежить баг типу «нескінченний мінг» (infinite mint) у модифікованому контракті CW20-ICS20, розгорнутому на стороні Secret Network. Цей контракт відповідає за створення «обгорнутих» версій активів (saToken) в екосистемі Cosmos IBC. Вразливість полягала у відсутності перевірки каналу, з якого надходила вхідна транзакція. Атакуючий зміг сфальсифікувати депозити, запустивши новий ланцюжок Cosmos з одним валідатором, та емітувати токени без реального забезпечення.
Комітет з надзвичайних ситуацій Axelar оперативно відключив з'єднання Secret та Secret-SNIP, щоб запобігти подальшим несанкціонованим операціям. Команда проекту координує дії з біржами та правоохоронними органами для відстеження та повернення викрадених коштів. Важливо підкреслити, що інцидент торкнувся виключно монет saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з'єднання та нативні активи Secret Network залишилися недоторканими.
Незважаючи на серйозність злому, ринок відреагував неоднозначно. Ціна токена Secret (SCRT) на момент публікації зросла майже на 6%, досягнувши $0,06, а потім скоригувалася до $0,058, зберігаючи добове зростання близько 3%. Капіталізація активу становить приблизно $20 млн. Однак варто зазначити, що токен торгується на 99,5% нижче свого історичного максимуму в $10,64, досягнутого в жовтні 2021 року.
Мій аналіз: Даний інцидент — чергове нагадування про те, що кросчейн-мости залишаються одними з найуразливіших елементів децентралізованої інфраструктури. Незважаючи на заяви про безпеку, баги в смарт-контрактах, особливо пов'язані з перевіркою каналів, можуть призвести до катастрофічних наслідків. Ринок, однак, демонструє дивовижну стійкість, що може свідчити про звикання інвесторів до подібних подій. Відновлення довіри до мосту вимагатиме не лише повернення коштів, але й значного посилення аудиту коду.