Эксплойт моста Axelar и Secret Network: уязвимость «бесконечного минта» на $4,67 млн
19 июня мной был зафиксирован инцидент в межсетевом мосту между Axelar и протоколом Secret Network. Атакующий, используя критическую уязвимость, вывел приблизительно $4,67 млн. В основе атаки лежал баг «бесконечного минта» (infinite mint bug) — классический, но весьма опасный вектор для кроссчейн-инфраструктуры.
Эксплойт оставался незамеченным в течение семи дней, что указывает на недостаточный мониторинг со стороны команд. Согласно моему анализу, уязвимость была обнаружена в модифицированном контракте CW20-ICS20 на стороне Secret Network, который отвечал за обработку IBC-соединений в экосистеме Cosmos. Проблема заключалась в отсутствии проверки канала входящей транзакции. Контракт создавал «обёрнутые» версии активов (saToken), не верифицируя, из какого именно канала поступают данные.
Злоумышленник запустил собственную цепочку Cosmos с одним валидатором, что позволило ему эмулировать депозиты и выпускать токены без какого-либо реального обеспечения. Это дало ему возможность сфальсифицировать номиналы активов и вывести средства. Комитет по чрезвычайным ситуациям Axelar оперативно отключил соединения Secret и Secret-SNIP, чтобы предотвратить дальнейшие несанкционированные переводы. В настоящее время ведётся координация с биржами и правоохранительными органами для отслеживания и возможного возврата средств.
Масштаб и последствия
Инцидент затронул исключительно монеты saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network не пострадали. Тем не менее, для рынка это стало тревожным сигналом.
Любопытно, что цена токена Secret (SCRT) на фоне новостей о взломе показала краткосрочный рост почти на 6%, достигнув $0,06. После коррекции актив торгуется около $0,058, сохраняя суточный прирост примерно в 3%. Капитализация составляет около $20 млн. Однако стоит помнить, что от исторического максимума в октябре 2021 года ($10,64) SCRT упал на 99,5%.
Мой экспертный комментарий
Этот случай вновь подчёркивает системную проблему кроссчейн-мостов: даже единичная ошибка в проверке канала может привести к многомиллионным потерям. Индустрии необходимо переходить на более надёжные архитектуры, такие как zk-мосты или децентрализованные оракулы с многоуровневой верификацией. Рынок же, как обычно, реагирует иррационально — рост SCRT на фоне взлома скорее говорит о спекулятивном интересе, чем о фундаментальной устойчивости проекта.