$4,67 млн украдено: Axelar раскрыл критический баг «бесконечного минта» в мосте с Secret Network
19 июня команда кроссчейн-протокола Axelar подтвердила факт эксплуатации уязвимости в мосте, соединяющем её инфраструктуру с сетью Secret Network. Атакующий сумел вывести цифровые активы на сумму около $4,67 млн, воспользовавшись так называемым багом «бесконечного минта» (infinite mint). Примечательно, что инцидент оставался незамеченным на протяжении целых семи дней.
Технические детали атаки
Анализ, проведённый ключевым разработчиком Axelar — командой Common Prefix, выявил корень проблемы в модифицированном смарт-контракте CW20-ICS20 на стороне Secret Network. Этот контракт отвечал за создание «обёрнутых» версий активов Axelar (токенов saToken) в экосистеме Cosmos через IBC-соединение. Фатальная ошибка заключалась в отсутствии проверки канала, из которого поступала входящая транзакция. Алгоритм слепо доверял любому пакету, позволяя злоумышленнику подделывать депозиты и эмитировать токены, не обеспеченные реальными средствами.
Для реализации схемы хакер запустил собственную цепочку в сети Cosmos с единственным валидатором. Через этот канал он отправлял пакеты с фиктивными номиналами активов, которые контракт на Secret принимал за легитимные депозиты. Это позволяло в неограниченном количестве чеканить saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH, которые затем выводились в другие сети.
Реакция и последствия
Комитет по чрезвычайным ситуациям Axelar оперативно отключил соединения Secret и Secret-SNIP, остановив поток несанкционированных транзакций. В настоящее время команда координирует действия с биржами и правоохранительными органами для отслеживания украденных средств. Важно подчеркнуть, что инцидент затронул исключительно перечисленные выше обёрнутые активы. Основной протокол Axelar, другие IBC-соединения и нативные токены Secret Network остались нетронутыми.
Любопытная реакция рынка: несмотря на сообщение о краже, цена нативного токена Secret (SCRT) в моменте подскочила почти на 6%, достигнув отметки $0,06. После небольшой коррекции актив торгуется около $0,058, демонстрируя суточный прирост около 3%. Капитализация проекта составляет приблизительно $20 млн. Для контекста: исторический максимум SCRT был зафиксирован в октябре 2021 года на уровне $10,64, что более чем на 99% выше текущих значений.
Мой экспертный комментарий: Данный инцидент — классический пример уязвимости в логике кроссчейн-коммуникации. Проблема не в самом протоколе Axelar, а в реализации контракта на стороне Secret Network. Отсутствие валидации входящего канала — грубая, но, к сожалению, распространённая ошибка в сложных мультичейн-средах. Этот случай служит суровым напоминанием: безопасность моста определяется самым слабым звеном в цепочке контрактов. Проектам необходимо внедрять многоуровневые проверки, особенно при работе с IBC-пакетами, где доверие к источнику должно быть строго верифицировано.