Эксплойт моста Axelar и Secret Network: уязвимость «бесконечного минта» привела к потере $4,67 млн
19 июня блокчейн-проект Axelar официально подтвердил взлом кроссчейн-моста, соединяющего его сеть с протоколом Secret Network. В результате атаки злоумышленник вывел приблизительно $4,67 млн, воспользовавшись критической уязвимостью, известной как «бесконечный минг» (infinite mint bug). Примечательно, что кража оставалась незамеченной в течение семи дней — это указывает на недостаточную оперативность систем мониторинга.
Детали эксплойта: как была реализована атака
Согласно анализу, проведенному командой ведущего разработчика Axelar — Common Prefix, уязвимость была обнаружена в смарт-контракте ICS-20, модифицированном для работы на стороне Secret Network в рамках IBC-соединения с экосистемой Cosmos. Контракт отвечал за создание «обернутых» версий активов Axelar (токенов типа saToken). Однако ключевой недостаток заключался в отсутствии проверки канала, из которого поступала входящая транзакция. Это позволило атакующему сфабриковать данные о депозитах и выпускать необеспеченные токены без какого-либо реального резервирования.
Поскольку протокол не требовал разрешения на выполнение подобных операций, злоумышленник запустил собственную кастомную цепочку в Cosmos с единственным валидатором. Из этой подконтрольной сети он отправлял пакеты с фиктивными номиналами активов, которые контракт на Secret принимал как легитимные, тем самым «напечатав» миллионы долларов в виде обернутых токенов.
Реакция и последствия
Комитет по чрезвычайным ситуациям Axelar незамедлительно отключил соединения Secret и Secret-SNIP, чтобы предотвратить дальнейшие несанкционированные переводы. На данный момент команда координирует действия с централизованными биржами и правоохранительными органами для отслеживания украденных средств и их возможного возврата.
Важно подчеркнуть, что инцидент затронул исключительно ограниченный пул активов: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network (SCRT) остались нетронутыми. Несмотря на это, рынок отреагировал парадоксально: цена токена SCRT в моменте подскочила почти на 6%, достигнув $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация проекта составляет примерно $20 млн. Для контекста: на историческом максимуме в октябре 2021 года SCRT стоил $10,64, что на 99,5% выше текущих котировок.
Мой экспертный комментарий: Данный инцидент — классический пример того, как даже в зрелых экосистемах, таких как Cosmos IBC, банальная логическая ошибка в контракте может привести к многомиллионным потерям. Отсутствие верификации канала-отправителя — это фундаментальный просчет, который должен был быть выявлен на этапе аудита. Рынок, в свою очередь, демонстрирует удивительную устойчивость: рост SCRT на фоне взлома говорит о том, что инвесторы воспринимают этот случай как изолированный сбой, не подрывающий доверие к самому протоколу Secret Network. Однако для Axelar это серьезный репутационный удар, который потребует усиления безопасности всех мостовых соединений.