Уязвимость «бесконечного минта» в мосте Axelar и Secret Network привела к потере $4,67 млн — анализ инцидента
19 июня я, как аналитик Cryptalist, зафиксировал раскрытие серьезного инцидента безопасности, затронувшего кроссчейн-мост между протоколами Axelar и Secret Network. Злоумышленник сумел вывести около $4,67 млн, эксплуатируя критическую уязвимость, известную как «бесконечный минг» (infinite mint).
Согласно данным, предоставленным командой Common Prefix — основным разработчиком Axelar, баг был обнаружен в смарт-контракте ICS-20, развернутом на стороне Secret Network в рамках соединения IBC (Inter-Blockchain Communication) экосистемы Cosmos. Этот контракт отвечал за создание «обернутых» версий активов (saToken), таких как saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Однако в его логике отсутствовала критическая проверка источника входящей транзакции — контракт не верифицировал, из какого именно канала поступают данные.
Как была реализована атака
Эта уязвимость позволила атакующему сфальсифицировать депозиты. Поскольку операции в сети Cosmos не требовали разрешения, злоумышленник запустил собственную блокчейн-цепочку с единственным валидатором. Из этой подконтрольной цепочки он отправлял пакеты с фиктивными номиналами активов, которые контракт ICS-20 на Secret Network принимал за легитимные и выпускал необеспеченные токены. Кража оставалась незамеченной на протяжении семи дней.
Реакция и последствия
Комитет по чрезвычайным ситуациям Axelar оперативно отключил соединения Secret и Secret-SNIP, чтобы остановить новые несанкционированные переводы. Команды координируют действия с биржами и правоохранительными органами для отслеживания и возможного возврата средств. Важно подчеркнуть, что инцидент ограничен указанными обернутыми активами. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network (SCRT) не пострадали.
Несмотря на шокирующие новости, рынок отреагировал парадоксально. Цена токена Secret (SCRT) в моменте подскочила почти на 6%, достигнув $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация составляет примерно $20 млн. При этом стоит напомнить, что на историческом максимуме в октябре 2021 года SCRT стоил $10,64, что на 99,5% превышает текущие котировки.
Мой экспертный комментарий: Этот инцидент — еще одно болезненное напоминание о том, что сложность кроссчейн-взаимодействий часто становится ахиллесовой пятой DeFi. Уязвимость «бесконечного минта» является классической ошибкой в контрактах, где не проверяется источник данных. Хотя реакция команд была быстрой, тот факт, что кражу не замечали целую неделю, говорит о необходимости внедрения более продвинутых систем мониторинга и аудита в реальном времени. Для инвесторов это сигнал к повышенной осторожности при работе с любыми новыми или сложными мостовыми решениями.