19 июня блокчейн-проект Axelar раскрыл взлом моста с протоколом Secret Network. Злоумышленник вывел около $4,67 млн, использовав уязвимость «бесконечного минта».
Кража оставалась незамеченной на протяжении семи дней.
По данным основного разработчика Axelar — Common Prefix, баг обнаружили в смарт-контракте ICS-20 на стороне Secret в Cosmos IBC-соединении. Алгоритм создавал «обернутые» версии активов (saToken), однако не проверял, из какого канала поступала входящая транзакция. Это позволило атакующему сфальсифицировать депозиты и выпускать токены без обеспечения.
Поскольку операции не требовали разрешения, он запустил в Cosmos цепочку с одним валидатором, из которой пересылал пакеты с фейковыми номиналами активов.
Комитет по чрезвычайным ситуациям Axelar отключил соединения Secret и Secret-SNIP, чтобы остановить новые несанкционированные переводы. Команда координирует действия с биржами и правоохранительными органами для отслеживания средств и содействия их возврату.
Согласно заявлению, инцидент ограничен монетами saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network не затронуты.
Несмотря на сообщение о краже, цена токена Secret (SCRT) в моменте подскочила почти на 6%, достигнув $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация составляет ~$20 млн.
Источник: CoinMarketCap.
При этом на историческом максимуме в октябре 2021 года SCRT стоил $10,64, что на 99,5% превышает текущие котировки.
Напомним, В июне хакеры за несколько дней дважды атаковали устаревшие контракты в L2-сети Aztec — суммы ущерба составили $2,19 млн и $2,15 млн.