Axelar және Secret Network көпірінің эксплуатациясы: Хакер «шексіз эмиссия» арқылы $4,67 млн ұрлады
19 маусымда блокчейн инфрақұрылымы Axelar желіні Secret Network протоколымен байланыстыратын көпірге қатысты маңызды қауіпсіздік оқиғасын растады. Шабуыл нәтижесінде зиянкес шамамен $4,67 миллион сомасындағы цифрлық активтерді шығарып үлгерді. Менің талдауым көрсеткендей, бұл бұзушылық «шексіз минг» (infinite mint) деп аталатын классикалық, бірақ қауіпті осалдыққа негізделген.
Axelar негізгі әзірлеушілер тобы — Common Prefix жүргізген тергеу нәтижелері бойынша, осалдық Cosmos-пен IBC байланысы аясында Secret Network жағында токендерді өңдеуге жауапты модификацияланған CW20-ICS20 смарт-келісімшартынан табылды. Сындарлы қате кіріс транзакциясының қай арнадан келгенін тексермеуде болды. Алгоритм активтердің «оралған» нұсқаларын (saToken) жасады, бірақ депозит көзінің заңдылығын растамады.
Бұл шабуылдаушыға жалған депозиттер жасауға және нақты қамтамасыз етілмеген токендерді шығаруға мүмкіндік берді. Cosmos желісіндегі операциялар рұқсатты қажет етпейтіндіктен, хакер бір валидаторы бар өз сайдчейнін іске қосып, сол жерден ерікті номиналдағы жалған пакеттерді жіберді. Айта кету керек, ұрлық жеті күн бойы байқалмай қалды, бұл мониторинг жүйелеріндегі кемшіліктерді көрсетеді.
Оқиға анықталғаннан кейін Axelar Төтенше жағдайлар комитеті Secret және Secret-SNIP қосылымдарын дереу ажыратып, әрі қарайғы рұқсатсыз аударымдардың алдын алды. Қазіргі уақытта топ ұрланған қаражатты қадағалау және оларды қайтару мүмкіндігі үшін биржалар мен құқық қорғау органдарымен күш біріктіруде.
Шабуыл тек шектеулі токендер тізіміне әсер еткенін атап өту маңызды: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB және sawstETH. Axelar негізгі протоколы, басқа IBC қосылымдары және Secret Network (SCRT) нативті активтері қол тимеген күйінде қалды. Бұзушылық туралы жаңалықтарға қарамастан, нарық парадоксальды түрде жауап берді: Secret (SCRT) токенінің бағасы қысқа мерзімде $0,06-ға жетіп, шамамен 6%-ға көтерілді. Түзетуден кейін актив $0,058 шамасында саудаланып, тәуліктік өсім шамамен 3% сақталуда. Жобаның капитализациясы шамамен $20 миллионды құрайды.
Контекст үшін: 2021 жылғы қазандағы тарихи максимумда SCRT $10,64 тұрды, бұл ағымдағы бағадан 99,5% жоғары. Бұл оқиға Aztec L2 желісіндегі ескірген келісімшарттарға жақында жасалған шабуылдарды еске салады, мұнда маусым айындағы екі бұзушылықтан келген шығын сәйкесінше $2,19 млн және $2,15 млн құрады.
Менің сараптамалық пікірім: Бұл жағдай — кроссчейн көпірлерінің қауіпсіздігі бүкіл саланың «Ахиллес өкшесі» болып қала беретінін тағы бір ескерту. Модификацияланған келісімшарттардағы «шексіз минг» осалдығы жаңа технология емес, кіріс деректерін тексеру логикасындағы қарапайым қателік. Шабуылдың бір апта бойы байқалмай қалуы экожүйедегі аудит сапасы мен мониторинг процедураларына қатысты маңызды сұрақтар туғызады. Инвесторлар көпірлер арқылы өткен активтерге, әсіресе құбылмалы кезеңдерде, өте сақ болуы керек және тіпті беделді протоколдар да мұндай оқиғалардан сақтандырылмағанын есте сақтауы қажет.