Взлом моста Axelar и Secret Network: уязвимость «бесконечного минта» привела к потере $4,67 млн
19 июня блокчейн-инфраструктурный проект Axelar раскрыл факт взлома своего кроссчейн-моста с протоколом Secret Network. Злоумышленнику удалось вывести около $4,67 млн, используя критическую уязвимость в смарт-контракте.
Согласно анализу, проведенному командой Common Prefix, основного разработчика Axelar, баг был обнаружен в модифицированном контракте CW20-ICS20 на стороне Secret Network в соединении IBC в экосистеме Cosmos. Проблема заключалась в том, что алгоритм создавал «обернутые» версии активов (saToken), но не проверял, из какого канала поступала входящая транзакция. Это позволило атакующему сфальсифицировать депозиты и выпускать токены без реального обеспечения.
Поскольку операции не требовали разрешения, злоумышленник запустил в Cosmos цепочку с одним валидатором, из которой пересылал пакеты с поддельными номиналами активов. Кража оставалась незамеченной на протяжении семи дней.
Последствия и реакция
Комитет по чрезвычайным ситуациям Axelar немедленно отключил соединения Secret и Secret-SNIP, чтобы остановить новые несанкционированные переводы. Команда координирует действия с биржами и правоохранительными органами для отслеживания средств и содействия их возврату.
Инцидент ограничен монетами saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network не затронуты.
Рынок и цена SCRT
Несмотря на сообщение о краже, цена токена Secret (SCRT) в моменте подскочила почти на 6%, достигнув $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация составляет ~$20 млн. При этом на историческом максимуме в октябре 2021 года SCRT стоил $10,64, что на 99,5% превышает текущие котировки.
Экспертное мнение: Данный инцидент — очередной тревожный сигнал для всей экосистемы кроссчейн-мостов. Уязвимости типа «бесконечного минта» становятся классическими, но разработчики по-прежнему не уделяют должного внимания валидации входящих данных. Рынок, как обычно, отреагировал парадоксально: рост SCRT на фоне взлома говорит о том, что инвесторы либо не понимают рисков, либо считают, что ущерб уже изолирован. Однако фундаментальная безопасность протоколов остается под вопросом.