Уязвимость «бесконечной чеканки»: взлом моста Axelar и Secret Network на $4,67 млн
19 июня блокчейн-проект Axelar официально подтвердил факт взлома кроссчейн-моста, связывающего его инфраструктуру с протоколом Secret Network. Злоумышленнику удалось вывести средства на сумму около $4,67 млн, воспользовавшись критической уязвимостью, известной как «бесконечный минг» (infinite mint).
Анализ инцидента, проведенный командой Common Prefix — основным разработчиком Axelar, показал, что брешь была обнаружена в смарт-контракте ICS-20 на стороне Secret Network в рамках IBC-соединения экосистемы Cosmos. Этот контракт отвечал за создание «обернутых» версий активов (saToken), но не проверял, из какого именно канала поступала входящая транзакция. Подобная ошибка позволила атакующему сфальсифицировать депозиты и выпускать токены без какого-либо реального обеспечения.
Кража оставалась незамеченной в течение семи дней. За это время хакер запустил собственную цепочку в Cosmos с единственным валидатором, из которой отправлял пакеты с поддельными номиналами активов, используя отсутствие разрешений на операции.
Комитет по чрезвычайным ситуациям Axelar незамедлительно отключил соединения Secret и Secret-SNIP, чтобы предотвратить дальнейшие несанкционированные переводы. В настоящее время команда координирует действия с биржами и правоохранительными органами для отслеживания похищенных средств и их возможного возврата. Важно отметить, что инцидент затронул исключительно монеты saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network остались нетронутыми.
Несмотря на столь серьезный инцидент, рынок отреагировал неоднозначно. Цена токена Secret (SCRT) в моменте подскочила почти на 6%, достигнув отметки $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация проекта составляет примерно $20 млн. На историческом максимуме в октябре 2021 года SCRT стоил $10,64 — текущие котировки ниже на 99,5%.
Комментарий эксперта: Этот взлом — классический пример того, как даже в зрелых экосистемах, таких как Cosmos, банальные ошибки в логике смарт-контрактов могут приводить к миллионным потерям. Отсутствие проверки канала входящей транзакции — это баг, который должен был быть выявлен на этапе аудита. Для сообщества это очередной сигнал о том, что безопасность кроссчейн-мостов остается одной из самых уязвимых точек в DeFi, и инвесторам стоит учитывать эти риски при оценке активов.