Уязвимость «бесконечного минта» в мосте Axelar и Secret Network привела к потере $4,67 млн
19 июня мной было зафиксировано раскрытие инцидента в кроссчейн-инфраструктуре Axelar, связанного с мостом до протокола Secret Network. Атака, основанная на эксплуатации уязвимости «бесконечного минта», позволила злоумышленнику вывести приблизительно $4,67 млн. Примечательно, что кража оставалась незамеченной в течение семи дней, что указывает на глубокий уровень эксплуатации.
В ходе анализа, проведённого командой Common Prefix, выяснилось, что баг был заложен в смарт-контракте ICS-20 на стороне Secret Network, работающем в экосистеме Cosmos через IBC-соединение. Проблема заключалась в отсутствии проверки канала, из которого поступала входящая транзакция. Это позволило атакующему сфальсифицировать депозиты и выпускать «обёрнутые» версии активов (saToken) без реального обеспечения.
Злоумышленник пошёл дальше: он запустил собственную цепочку в Cosmos с одним валидатором, откуда отправлял пакеты с поддельными номиналами активов. Поскольку операции не требовали разрешения, процесс оказался полностью автоматизированным. Комитет по чрезвычайным ситуациям Axelar немедленно отключил соединения Secret и Secret-SNIP, чтобы остановить дальнейшие несанкционированные переводы. Сейчас команда координирует действия с биржами и правоохранительными органами для отслеживания и возврата средств.
Важно подчеркнуть, что инцидент затронул только конкретные активы: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network остались нетронутыми. Это говорит о целенаправленном характере атаки, а не о системной уязвимости.
Несмотря на негативные новости, цена токена Secret (SCRT) продемонстрировала краткосрочный рост почти на 6%, достигнув $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация составляет примерно $20 млн. Для контекста: на историческом максимуме в октябре 2021 года SCRT стоил $10,64, что на 99,5% превышает текущие котировки. Это указывает на долгосрочное давление на актив, несмотря на временный всплеск.
Моя экспертная оценка: Данный инцидент — очередной тревожный сигнал для всей индустрии кроссчейн-мостов. Уязвимости типа «бесконечного минта» продолжают преследовать проекты, несмотря на множество предыдущих атак. Инвесторам стоит тщательнее оценивать безопасность мостов, особенно тех, что используют кастомные контракты. Пока команда Axelar оперативно реагирует, но доверие к подобным решениям подорвано. Ждём дальнейших шагов по усилению аудита и внедрению механизмов предотвращения таких атак в будущем.