$4,67 млн ұрланды: Axelar Secret Network көпіріндегі «шексіз чеканка» сыни қатесін анықтады
19 маусымда Axelar кроссчейн-хаттамасының тобы өз инфрақұрылымын Secret Network желісімен байланыстыратын көпірдегі осалдықты пайдалану фактісін растады. Шабуылдаушы «шексіз минт» (infinite mint) деп аталатын багты пайдаланып, шамамен $4,67 млн сомасындағы цифрлық активтерді шығарып үлгерген. Айта кетерлігі, оқиға жеті күн бойы байқалмай қалған.
Шабуылдың техникалық мәліметтері
Axelar негізгі әзірлеушісі — Common Prefix тобы жүргізген талдау мәселенің түбірін Secret Network жағындағы модификацияланған CW20-ICS20 смарт-контрактынан тапты. Бұл контракт IBC-қосылымы арқылы Cosmos экожүйесінде Axelar активтерінің (saToken токендері) «оралған» нұсқаларын жасауға жауапты болған. Өлімге әкелетін қате кіріс транзакциясы келетін арнаны тексерудің болмауында еді. Алгоритм кез келген пакетке соқыр сеніп, зиянкеске депозиттерді бұрмалауға және нақты қаражатпен қамтамасыз етілмеген токендерді шығаруға мүмкіндік берген.
Схеманы жүзеге асыру үшін хакер Cosmos желісінде бір ғана валидаторы бар өз тізбегін іске қосты. Осы арна арқылы ол Secret контракты заңды депозиттер деп қабылдайтын жалған актив номиналдары бар пакеттерді жіберген. Бұл saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB және sawstETH токендерін шексіз мөлшерде соғуға мүмкіндік беріп, кейін олар басқа желілерге шығарылған.
Реакция және салдары
Axelar төтенше жағдайлар комитеті Secret және Secret-SNIP қосылымдарын жедел ажыратып, рұқсатсыз транзакциялар ағынын тоқтатты. Қазіргі уақытта топ ұрланған қаражатты қадағалау үшін биржалармен және құқық қорғау органдарымен іс-қимылдарды үйлестіруде. Оқиға тек жоғарыда аталған оралған активтерге ғана әсер еткенін атап өту маңызды. Axelar негізгі хаттамасы, басқа IBC-қосылымдары және Secret Network-тің тума токендері қол тимеген күйінде қалды.
Нарықтың қызықты реакциясы: ұрлық туралы хабарламаға қарамастан, Secret (SCRT) тума токенінің бағасы сәтте $0,06 белгісіне жетіп, шамамен 6%-ға көтерілді. Шамалы түзетуден кейін актив $0,058 шамасында саудаланып, тәуліктік өсімді шамамен 3% көрсетуде. Жобаның капитализациясы шамамен $20 млн құрайды. Контекст үшін: SCRT-тің тарихи максимумы 2021 жылдың қазан айында $10,64 деңгейінде тіркелген, бұл ағымдағы мәндерден 99%-дан астам жоғары.
Менің сараптамалық пікірім: Бұл оқиға — кроссчейн байланыс логикасындағы осалдықтың классикалық мысалы. Мәселе Axelar хаттамасының өзінде емес, Secret Network жағындағы контракттың іске асырылуында. Кіріс арнасын тексерудің болмауы — өрескел, бірақ, өкінішке орай, күрделі мультичейн орталарда жиі кездесетін қате. Бұл жағдай қатаң ескерту болып табылады: көпірдің қауіпсіздігі контракттар тізбегіндегі ең әлсіз буынмен анықталады. Жобалар көп деңгейлі тексерулерді енгізуі керек, әсіресе IBC-пакеттерімен жұмыс істегенде, мұнда дереккөзге деген сенім қатаң тексерілуі тиіс.