Взлом моста Axelar и Secret Network: уязвимость «бесконечной эмиссии» привела к потере $4,67 млн
19 июня блокчейн-проект Axelar раскрыл факт компрометации моста, связывающего его с протоколом Secret Network. В результате атаки злоумышленник вывел около $4,67 млн, используя критическую уязвимость, известную как «бесконечный минг» (infinite mint). Инцидент оставался незамеченным в течение семи дней, что указывает на недостаточную оперативность мониторинга в данном сегменте.
По данным основного разработчика Axelar — команды Common Prefix, баг был обнаружен в смарт-контракте ICS-20 на стороне Secret в рамках IBC-соединения Cosmos. Контракт создавал «обернутые» версии активов (saToken), но не проверял, из какого именно канала поступала входящая транзакция. Это позволило атакующему сфальсифицировать депозиты и выпускать токены без реального обеспечения. Поскольку операции не требовали разрешения, злоумышленник запустил в Cosmos отдельную цепочку с одним валидатором, из которой пересылал пакеты с фиктивными номиналами активов.
Комитет по чрезвычайным ситуациям Axelar немедленно отключил соединения Secret и Secret-SNIP, чтобы остановить новые несанкционированные переводы. Команда координирует действия с биржами и правоохранительными органами для отслеживания средств и содействия их возврату. Важно подчеркнуть, что инцидент ограничен монетами saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network не затронуты.
Несмотря на негативные новости, цена токена Secret (SCRT) в моменте подскочила почти на 6%, достигнув $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация составляет примерно $20 млн. При этом на историческом максимуме в октябре 2021 года SCRT стоил $10,64 — это на 99,5% выше текущих котировок, что свидетельствует о глубоком медвежьем тренде для данного актива.
Аналитический комментарий: Подобные инциденты вновь поднимают вопрос о безопасности кроссчейн-мостов, которые остаются одной из самых уязвимых точек в экосистеме DeFi. Уязвимость «бесконечного минта» — классическая ошибка, связанная с недостаточной валидацией входящих данных. На фоне исторического падения SCRT на 99,5% от максимума, рынок, похоже, уже заложил в цену риски подобных сбоев, что и объясняет краткосрочный рост после раскрытия инцидента — инвесторы могли воспринять его как «известную неизвестность».