Уязвимость «бесконечного минта» в мосту Axelar и Secret Network привела к потере $4,67 млн
19 июня блокчейн-проект Axelar официально подтвердил факт взлома кроссчейн-моста, связывающего его с протоколом Secret Network. В результате атаки злоумышленник вывел активы на сумму около $4,67 млн, воспользовавшись критической уязвимостью в смарт-контракте, известной как «бесконечный минг» (infinite mint).
Детали эксплуатации бага
По данным команды Common Prefix, основного разработчика Axelar, уязвимость была обнаружена в модифицированном контракте CW20-ICS20, развернутом на стороне Secret Network в рамках IBC-соединения с экосистемой Cosmos. Проблема заключалась в том, что алгоритм создания «обернутых» токенов (saToken) не проверял канал, из которого поступала входящая транзакция. Это позволило атакующему сфальсифицировать депозиты и выпускать обернутые версии активов без какого-либо обеспечения.
Злоумышленник запустил собственную цепочку в Cosmos с единственным валидатором, откуда отправлял пакеты с фиктивными номиналами токенов. Операции не требовали разрешения, что сделало атаку технически простой и быстрой. Примечательно, что кража оставалась незамеченной в течение семи дней — это указывает на недостатки в системах мониторинга и аудита на стороне моста.
Последствия и меры реагирования
После обнаружения инцидента Комитет по чрезвычайным ситуациям Axelar немедленно отключил соединения Secret и Secret-SNIP, чтобы остановить дальнейшие несанкционированные переводы. Команда проекта координирует действия с биржами и правоохранительными органами для отслеживания украденных средств и их возможного возврата. По официальному заявлению, атака затронула только определенные монеты: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network остались нетронутыми.
Рынок и цена SCRT
Несмотря на серьезность инцидента, рынок отреагировал неожиданно. Цена нативного токена Secret Network (SCRT) в моменте подскочила почти на 6%, достигнув отметки $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Текущая рыночная капитализация составляет примерно $20 млн. Для сравнения, на историческом максимуме в октябре 2021 года SCRT стоил $10,64 — это на 99,5% выше текущих котировок, что подчеркивает глубокий медвежий тренд для данного актива.
Мой анализ: Этот инцидент — очередное напоминание о том, что даже в зрелых кроссчейн-протоколах уязвимости в смарт-контрактах остаются критической точкой отказа. Отсутствие проверки канала в IBC-соединении — это банальная, но разрушительная ошибка. Интересно, что рынок не наказал SCRT за взлом, что может указывать на то, что инвесторы уже заложили в цену низкую ликвидность и высокие риски. Однако для Axelar это серьезный репутационный удар, который может подорвать доверие к его мостовым решениям в долгосрочной перспективе.