Взлом моста Axelar и Secret Network: уязвимость «бесконечного минта» обошлась в $4,67 млн
19 июня блокчейн-проект Axelar официально подтвердил факт взлома своего межсетевого моста, соединяющего его с протоколом Secret Network. В результате атаки злоумышленник вывел около $4,67 млн, используя критическую уязвимость, известную как «бесконечный минт».
Примечательно, что кража оставалась незамеченной на протяжении семи дней, что указывает на недостаточную эффективность систем мониторинга в реальном времени. Основной разработчик Axelar, команда Common Prefix, в ходе анализа установила, что баг был заложен в смарт-контракте ICS-20 на стороне Secret в рамках соединения Cosmos IBC. Проблема заключалась в том, что алгоритм создавал «обернутые» версии активов (saToken), но не проверял, из какого именно канала поступала входящая транзакция. Это позволило атакующему сфальсифицировать депозиты и выпускать токены без какого-либо реального обеспечения.
Поскольку операции не требовали разрешения, злоумышленник запустил в Cosmos собственную цепочку с одним валидатором, из которой пересылал пакеты с фейковыми номиналами активов. Это классический пример атаки на межсетевые мосты, где недостаток проверки каналов приводит к неограниченной эмиссии.
В ответ на инцидент комитет по чрезвычайным ситуациям Axelar немедленно отключил соединения Secret и Secret-SNIP, чтобы остановить новые несанкционированные переводы. Команда сейчас координирует действия с биржами и правоохранительными органами для отслеживания средств и содействия их возврату. Важно подчеркнуть, что инцидент ограничен монетами saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network не затронуты.
Несмотря на шокирующее сообщение о краже, рынок отреагировал парадоксально: цена токена Secret (SCRT) в моменте подскочила почти на 6%, достигнув $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация составляет примерно $20 млн. Однако стоит отметить, что на историческом максимуме в октябре 2021 года SCRT стоил $10,64, что на 99,5% превышает текущие котировки. Это свидетельствует о глубоком медвежьем тренде, который не смогли переломить даже новости о взломе.
Этот инцидент напоминает о недавних атаках на устаревшие контракты в L2-сети Aztec, где за несколько дней хакеры вывели $2,19 млн и $2,15 млн. Рынок межсетевых мостов остается одной из самых уязвимых точек в экосистеме DeFi.
Экспертный комментарий: Данный взлом — еще одно доказательство того, что архитектура межсетевых мостов требует фундаментального пересмотра. Уязвимость «бесконечного минта» — это не случайная ошибка, а системная проблема, связанная с недостаточной валидацией кросс-чейн сообщений. Пока проекты не внедрят многоуровневые проверки и децентрализованные оракулы для верификации активов, подобные атаки будут повторяться. Рынок должен быть готов к дальнейшим потерям, если не будут приняты превентивные меры.