Axelar және Secret Network көпірлерінің бұзылуы: «шексіз шығару» осалдығы $4,67 млн шығынға әкелді
19 маусымда Axelar блокчейн-жобасының командасы өз желісін Secret Network протоколымен байланыстыратын кроссчейн-көпірдің бұзылуының мәліметтерін ашты. Зұлым пайдаланушы «шексіз минг» (infinite mint) деп аталатын сыни осалдықты пайдаланып, шамамен $4,67 млн сомасындағы цифрлық активтерді шығарып алды. Айта кетерлігі, ұрлық жеті күн бойы байқалмай қалды — бұл Secret тізбегіндегі мониторинг жүйелерінің жеделдігінің жеткіліксіздігін көрсетеді.
Axelar жетекші әзірлеушісі — Common Prefix командасы жүргізген талдауға сәйкес, ақау Cosmos IBC-қосылымы аясында Secret Network жағында орналастырылған ICS-20 смарт-келісімшартында анықталды. Алгоритм активтердің «оралған» нұсқаларын (saToken) жасауға арналған, бірақ ол кіріс транзакциясының қай арнадан келетінін тексермеген. Бұл шабуылдаушыға депозиттерді бұрмалауға және нақты қамтамасыз етусіз токендер шығаруға мүмкіндік берді. Операциялар рұқсатты қажет етпегендіктен, хакер Cosmos-та бір валидаторы бар өз тізбегін іске қосып, одан активтердің жалған номиналдары бар пакеттерді жіберген.
Axelar төтенше жағдайлар комитеті жаңа рұқсатсыз аударымдарды тоқтату үшін Secret және Secret-SNIP қосылымдарын жедел түрде өшірді. Команда қаражатты қадағалау және оларды қайтару мүмкіндігі үшін биржалар мен құқық қорғау органдарымен әрекеттерді үйлестіруде. Атап өту маңызды: оқиға тек saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB және sawstETH монеталарына әсер етті. Axelar негізгі протоколы, басқа IBC-қосылымдар және Secret Network-тің жергілікті активтері зардап шеккен жоқ.
Ұрлық туралы хабарламаға қарамастан, Secret (SCRT) токенінің бағасы сәтте $0,06-ға жетіп, 6%-ға жуық өсті. Түзетуден кейін актив шамамен $0,058 деңгейінде саудаланып, тәуліктік өсімді шамамен 3% сақтап отыр. Капитализация шамамен $20 млн құрайды. Сонымен қатар, 2021 жылғы қазандағы тарихи максимумда SCRT $10,64 тұрды — бұл ағымдағы баға белгілеулерінен 99,5% жоғары. Нарықтың бұзылуға мұндай реакциясы парадоксалды болып көрінеді, бірақ бұл өтемақы күтулерімен немесе жаңалық айналасындағы уақытша ажиотажбен байланысты болуы мүмкін.
Менің сараптамалық пікірім: Бұл оқиға — «шексіз минг» осалдықтары кроссчейн-көпірлер үшін ең қауіпті қатерлердің бірі болып қала беретінін тағы бір еске салу. ICS-20 келісімшарттарында кіріс транзакциялардың көзін тексерудің болмауы — бұл аудит кезеңінде анықталуы мүмкін дизайнның негізгі қатесі. Инвесторлар үшін бұл сигнал: тіпті күшті командасы бар ірі жобалар да мұндай шабуылдардан сақтандырылмаған, ал тәуекелдерді әртараптандыру — бұл жай ұсыныс емес, қажеттілік.