Axelar кроссчейн-көпірі $4,67 млн-ға бұзылды: «шексіз эмиссия» эксплойты бір апта бойы байқалмай қалды
19 маусымда Axelar блокчейн-инфраструктурасы Cosmos экожүйесін Secret Network хаттамасымен байланыстыратын өз көпірінің бұзылғанын растады. Шабуылдаушы Secret жағындағы ICS-20 смарт-келісімшартындағы сыни осалдықты пайдаланып, шамамен $4,67 млн шығарып үлгерді.
Axelar командасының ішкі талдауы бойынша, бұл оқиға «шексіз шығару» (infinite-mint bug) қатесінің салдарынан мүмкін болды. Активтердің «оралған» нұсқаларын (saTokens) жасауға жауапты келісімшарт кіріс транзакциялардың көзін растамаған — яғни, сұраныстың қай IBC-арнадан келгенін тексермеген. Бұл зиянкеске депозиттерді жалған жасауға мүмкіндік берді.
Шабуылды жүзеге асыру үшін хакер Cosmos желісінде бір валидаторы бар өз тізбегін орнатты. Осы тізбек арқылы ол активтердің жалған номиналдары бар пакеттерді жіберді, содан кейін Secret Network-тегі келісімшарт сөзсіз тиісті мөлшерде оралған токендерді жасады. Айта кету керек, ұрлық жеті күн бойы байқалмай қалды — тек бір аптадан кейін Axelar командасы аномалияны анықтады.
Axelar төтенше комитеті одан әрі рұқсатсыз аударымдардың алдын алу үшін Secret және Secret-SNIP қосылымдарын дереу өшірді. Қазіргі уақытта команда ұрланған қаражатты бақылау және қайтару үшін биржалар мен құқық қорғау органдарымен әрекеттерді үйлестіруде.
Атап өту маңызды: оқиға тек оралған активтерге — saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB және sawstETH-ке әсер етті. Axelar негізгі хаттамасы, басқа IBC-қосылымдар және Secret Network (SCRT) нативті активтері зардап шеккен жоқ.
Алаңдатарлық жаңалықтарға қарамастан, нарық парадоксальды түрде жауап берді: SCRT бағасы бір сәтте $0,06-ға жетіп, 6%-ға жуық өсті. Түзетуден кейін актив шамамен $0,058 деңгейінде саудаланып, тәуліктік өсімді шамамен 3% сақтап тұр. Капитализация шамамен $20 млн құрайды. Дегенмен, 2021 жылғы қазандағы тарихи максимумда SCRT $10,64 тұрғанын еске сала кету керек — ағымдағы баға белгілері 99,5%-ға төмен.
Бұл жағдай — тіпті формальды түрде тексерілген келісімшарттары бар жетілген экожүйелерде де жасырын осалдықтар қалатынын тағы бір еске салу. IBC-қосылымдарда кіріс транзакциялардың көзін растаудың болмауы — басқа көпірлерде қайталануы мүмкін іргелі қателік. Жоба командаларына ұқсас қателерді анықтау үшін өздерінің ICS-келісімшарттарына аудит жүргізуді қатты ұсынамын.