Новости криптомира

19 июня блокчейн-инфраструктура Axelar официально подтвердила взлом кроссчейн-моста, связывающего ее с протоколом Secret Network. Злоумышленник вывел приблизительно $4,67 млн, воспользовавшись критической ошибкой в смарт-контракте, известной как «бесконечный минг» (infinite mint bug). Примечательно, что кража оставалась незамеченной в течение семи дней — это говорит о недостаточном уровне мониторинга on-chain активности на стороне Secret.

Технические детали атаки

Как установила команда Common Prefix — основной разработчик Axelar, уязвимость была заложена в модифицированном контракте CW20-ICS20, используемом в IBC-соединении Cosmos на стороне Secret Network. Алгоритм отвечал за создание «обернутых» версий активов (saToken), но не верифицировал канал, из которого поступала входящая транзакция. Это позволило атакующему сфальсифицировать депозиты и эмитировать токены без какого-либо обеспечения.

Поскольку операции в сети Cosmos не требовали разрешения, злоумышленник запустил собственную цепочку с одним валидатором. Из этой цепочки он отправлял пакеты с фиктивными номиналами активов, которые контракт на Secret принимал как легитимные, выпуская необеспеченные saToken.

Реакция и последствия

Комитет по чрезвычайным ситуациям Axelar оперативно отключил соединения Secret и Secret-SNIP, чтобы предотвратить дальнейшие несанкционированные переводы. В настоящее время команда координирует действия с биржами и правоохранительными органами для отслеживания и возможного возврата средств.

Инцидент затронул исключительно обернутые активы: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network остались нетронутыми. Это сужает зону поражения, но не умаляет серьезности уязвимости.

Реакция рынка

Несмотря на публичное раскрытие кражи, цена нативного токена Secret Network (SCRT) парадоксально выросла почти на 6%, достигнув $0,06. После коррекции актив торгуется около $0,058, сохраняя суточный рост примерно в 3%. Капитализация составляет около $20 млн. Однако стоит отметить, что с исторического максимума в октябре 2021 года ($10,64) SCRT потерял более 99,5% стоимости.

Этот инцидент — очередное напоминание о том, что даже при кажущейся надежности кроссчейн-мосты остаются одной из самых уязвимых точек в экосистеме. Уязвимость «бесконечного минта» — классическая, но, как показывает практика, до сих пор не до конца искорененная. На мой взгляд, командам проектов необходимо внедрять многоуровневые системы верификации каналов и проводить аудит с акцентом на логику эмиссии, а не только на стандартные векторы атак.