Axelar және Secret Network көпірінің эксплуатациясы: «шексіз минт» осалдығы $4,67 млн шығынға әкелді
19 маусымда Axelar блокчейн-жобасы Secret Network протоколымен өзінің желісін байланыстыратын кроссчейн көпірінің бұзылғанын ресми түрде растады. Шабуыл нәтижесінде зиянкес «шексіз минг» (infinite mint bug) деп аталатын сыни осалдықты пайдаланып, шамамен $4,67 млн шығарып әкетті. Айта кетерлігі, ұрлық жеті күн бойы байқалмай қалды — бұл мониторинг жүйелерінің жеделдігінің жеткіліксіздігін көрсетеді.
Эксплойттің мәліметтері: шабуыл қалай жүзеге асырылды
Axelar жетекші әзірлеушісі Common Prefix командасы жүргізген талдауға сәйкес, осалдық Cosmos экожүйесімен IBC байланысы аясында Secret Network жағында жұмыс істеуге өзгертілген ICS-20 смарт-контрактынан табылды. Контракт Axelar активтерінің (saToken түріндегі токендер) «оралған» нұсқаларын жасауға жауапты болды. Алайда негізгі кемшілік кіріс транзакциясы келіп түскен арнаны тексерудің болмауы болды. Бұл шабуылдаушыға депозиттер туралы деректерді бұрмалауға және ешқандай нақты резервтеусіз қамтамасыз етілмеген токендерді шығаруға мүмкіндік берді.
Протокол мұндай операцияларды орындауға рұқсатты талап етпегендіктен, зиянкес Cosmos-та бір ғана валидаторы бар өзінің жеке кастомды тізбегін іске қосты. Осы бақыланатын желіден ол Secret-тегі контракт заңды деп қабылдаған активтердің жалған номиналдары бар пакеттерді жіберіп, осылайша оралған токендер түрінде миллиондаған долларды «басып шығарды».
Реакция және салдары
Axelar төтенше жағдайлар комитеті одан әрі рұқсатсыз аударымдардың алдын алу үшін Secret және Secret-SNIP қосылымдарын дереу өшірді. Қазіргі уақытта команда ұрланған қаражатты қадағалау және оларды қайтару мүмкіндігі үшін орталықтандырылған биржалармен және құқық қорғау органдарымен іс-қимылдарды үйлестіруде.
Оқиға тек шектеулі активтер пулына әсер еткенін атап өту маңызды: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB және sawstETH. Axelar негізгі протоколы, басқа IBC қосылымдары және Secret Network (SCRT) нативті активтері қол тигізілмеген күйінде қалды. Осыған қарамастан, нарық парадоксалды түрде жауап берді: SCRT токенінің бағасы бір сәтте $0,06-ға жетіп, шамамен 6%-ға секірді. Түзетуден кейін актив $0,058 шамасында саудаланып, тәуліктік өсімді шамамен 3% сақтап отыр. Жобаның капитализациясы шамамен $20 млн құрайды. Контекст үшін: 2021 жылғы қазандағы тарихи максимумда SCRT $10,64 тұрды, бұл ағымдағы баға белгілерінен 99,5% жоғары.
Менің сараптамалық пікірім: Бұл оқиға — Cosmos IBC сияқты жетілген экожүйелерде де контракттағы қарапайым логикалық қате миллиондаған доллар шығынға әкелуі мүмкін екендігінің классикалық мысалы. Жіберуші арнаны тексерудің болмауы — бұл аудит кезеңінде анықталуы тиіс іргелі қателік. Өз кезегінде нарық таңғаларлық тұрақтылықты көрсетеді: бұзылу аясында SCRT-тің өсуі инвесторлардың бұл жағдайды Secret Network протоколына деген сенімді әлсіретпейтін оқшауланған ақау ретінде қабылдайтынын көрсетеді. Алайда Axelar үшін бұл барлық көпір қосылымдарының қауіпсіздігін күшейтуді талап ететін елеулі беделдік соққы болып табылады.