Axelar және Secret Network көпірінің бұзылуы: «шексіз шығару» осалдығы $4,67 млн шығынға әкелді
19 маусымда блокчейн-жобасы Axelar өз желісін Secret Network хаттамасымен байланыстыратын көпірге қатысты елеулі қауіпсіздік оқиғасын ашты. Шабуылдаушы «шексіз шығару» деп аталатын сыни осалдықты пайдаланып, шамамен $4,67 млн шығарып алды. Айта кетерлігі, ұрлық жеті күн бойы байқалмай қалды — бұл кроссчейн инфрақұрылымындағы ауытқуларды бақылаудың күрделілігін көрсетеді.
Axelar негізгі әзірлеушісі Common Prefix тобы жүргізген талдау қате Cosmos IBC қосылымы аясында жұмыс істейтін Secret Network жағындағы ICS-20 смарт-келісімшартында енгізілгенін көрсетті. Келісімшарт активтердің «оралған» нұсқаларын (saToken) жасауға жауапты болды, бірақ кіріс транзакциясы қай арнадан келгенін тексермеді. Бұл шабуылдаушыға депозиттерді бұрмалауға және нақты қамтамасыз етусіз токендер шығаруға мүмкіндік берді.
Операциялар рұқсатты қажет етпегендіктен, хакер Cosmos-та бір валидаторы бар өз тізбегін іске қосты, одан жалған активтер номиналдары бар пакеттерді жіберді. Нәтижесінде saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB және sawstETH монеталары бұзылды. Axelar төтенше жағдайлар комитеті жаңа рұқсатсыз аударымдарды тоқтату үшін Secret және Secret-SNIP қосылымдарын жедел ажыратты. Негізгі Axelar хаттамасы, басқа IBC қосылымдары және Secret Network-тің туынды активтері зардап шеккен жоқ.
Біз Secret Network оқиғасын талдадық. Шабуылдаушы Secret-тегі өзгертілген CW20-ICS20 токен келісімшартындағы шексіз шығару қатесін пайдаланып, ≈$4,67 млн шығарып алды. Зиянкес 1 валидаторы бар жаңа Cosmos тізбегін іске қосып, Secret-те Axelar-дың кез келген Secret-оралған активтерін жасады және…
— Common Prefix (@CommonPrefix)
Axelar тобы қаражатты бақылау және оларды қайтаруға жәрдемдесу үшін биржалармен және құқық қорғау органдарымен іс-қимылды үйлестіреді.
Ұрлық туралы хабарламаға қарамастан, Secret (SCRT) токенінің бағасы сәтте $0,06-ға жетіп, шамамен 6%-ға көтерілді. Түзетуден кейін актив $0,058 шамасында саудаланып, тәуліктік өсімді шамамен 3% сақтап отыр. Нарықтық капитализация ~$20 млн құрайды. Сонымен қатар, 2021 жылғы қазандағы тарихи максимумда SCRT $10,64 тұрды, бұл ағымдағы баға белгілеулерінен 99,5%-ға жоғары.
Менің пікірім: Бұл оқиға — Cosmos IBC сияқты жетілген экожүйелерде де кіріс деректерді жеткіліксіз тексеру салдарынан өлімге әкелетін осалдықтар туындауы мүмкін екенінің классикалық мысалы. «Шексіз шығару» осалдығы кроссчейн көпірлері үшін ең қауіптілердің бірі, өйткені ол ауадан активтер жасауға мүмкіндік береді. Мен бұл жағдайдан кейін жоба топтары смарт-келісімшарттардың аудитін, әсіресе арналар мен депозиттерді тексеру бөлігін күшейтеді деп күтемін. Нарық, өз кезегінде, әлі дүрбелеңге түскен жоқ — SCRT өсімі инвесторлардың команданың салдарды жеңе алатынына сенетінін көрсетеді. Алайда мұндай оқиғалар DeFi-дегі қауіпсіздік бір реттік міндет емес, үздіксіз процесс екенін еске салады.