Шексіз минт осалдығы: Axelar Secret Network көпірінің бұзылуынан $4,67 млн жоғалтты
19 маусымда Axelar блокчейн-жобасы өз инфрақұрылымын Secret Network протоколымен байланыстыратын көпірдің бұзылғанын жария етті. Шабуылдаушы смарт-келісімшарттағы «шексіз шығару» сыни осалдығын пайдаланып, шамамен $4,67 млн шығарып әкетті. Ұрлық жеті күн бойы байқалмай қалды, бұл екі желінің мониторинг жүйесіндегі елеулі олқылықтарды көрсетеді.
Қате Cosmos IBC қосылымында жұмыс істейтін Secret жағындағы өзгертілген CW20-ICS20 келісімшартынан табылды. Алгоритм активтердің «оралған» нұсқаларын (saToken) жасады, бірақ кіріс транзакция қай арнадан келгенін тексермеді. Бұл шабуылдаушыға депозиттерді бұрмалауға және ешқандай қамтамасыз етусіз токендер шығаруға мүмкіндік берді. Қарапайым тілмен айтқанда, хакер Cosmos-та бір валидаторы бар өз тізбегін іске қосып, одан активтердің жалған номиналдары бар пакеттерді жіберіп, көпірді алдады. Шабуылдың мұндай векторы — біз басқа оқиғаларда бірнеше рет байқаған желіаралық хабарламалардың жеткіліксіз тексерілуінің классикалық мысалы.
Axelar төтенше жағдайлар комитеті жаңа рұқсатсыз аударымдарды тоқтату үшін Secret және Secret-SNIP қосылымдарын жедел түрде ажыратты. Команда қаражатты бақылау және оларды қайтаруға жәрдемдесу үшін биржалар мен құқық қорғау органдарымен әрекеттерді үйлестіреді. Мәлімдемеге сәйкес, оқиға saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB және sawstETH монеталарымен шектелген. Axelar негізгі протоколы, басқа IBC қосылымдары және Secret Network-тің жергілікті активтері зардап шеккен жоқ.
Ұрлық туралы хабарламаға қарамастан, Secret (SCRT) токенінің бағасы бір сәтте $0,06-ға жетіп, шамамен 6%-ға өсті. Түзетуден кейін актив $0,058 шамасында саудаланып, тәуліктік өсімді шамамен 3% сақтап отыр. Капитализация ~$20 млн құрайды. Сонымен қатар, 2021 жылғы қазандағы тарихи максимумда SCRT $10,64 тұрды, бұл ағымдағы баға белгілеулерден 99,5% жоғары. Нарықтың мұндай реакциясы инвесторлар бұл оқиғаны жоба үшін өлімге әкелетін деп қабылдамайтынын көрсетеді, дегенмен көпірлерге деген сенім өте нәзік болып қала береді.
Аналитикалық түсініктеме: Бұл бұзылу — желіаралық көпірлер DeFi экожүйесіндегі ең осал нүкте болып қала беретінінің тағы бір ескертуі. ICS-20 келісімшартындағы «шексіз шығару» осалдығы — бұл жаңа әдіс емес, керісінше, абайсыз аудиттің немесе ескірген іске асырудың нәтижесі. Менің ойымша, салаға IBC қосылымдары үшін стандартталған қауіпсіздік протоколдары шұғыл қажет, әйтпесе мұндай оқиғалар қорқынышты тұрақтылықпен қайталана береді.