Axelar: Ursprung des Bridge-Exploits bei Secret Network (4,67 Mio. US-Dollar) lag in modifiziertem Vertrag

Axelar hat seine Rolle bei einem Exploit in Höhe von 4,67 Mio. US-Dollar im Umfeld von Secret Network präzisiert. Weder Axelar noch das InterBlockchain-Communication-(IBC)-Protokoll seien kompromittiert worden, teilte das Team mit. Auslöser sei vielmehr ein anfälliger Smart Contract auf Secret Network gewesen, wie auch eine Postmortem-Analyse von Common Prefix zum Vorfall vom 10. Juni darlegt. Nach Angaben von Axelar handelte es sich bei dem ausgenutzten Contract um einen Fork der CW20ICS20-Implementierung, die eingehende IBC-Assets verpackt. In dieser abgewandelten Version seien zwei zentrale Sicherheitsprüfungen entfernt worden, die normalerweise unautorisierte Token-Mints verhindern. Dadurch habe eine "Infinite-Mint"-Schwachstelle bestanden. Axelar betont, der betroffene Contract sei nicht vom Axelar-Team entwickelt, ausgerollt oder gewartet worden; zudem seien durch die Änderungen die Vertrauensannahmen des Contracts verschoben worden, ohne dass eine neue Sicherheitsprüfung erfolgt sei. Common Prefix kommt zu einem ähnlichen Ergebnis: Der Contract habe Secret-wrapped Assets (saTokens) geprägt, ohne den Ursprungskanal eingehender Transfers zu validieren. Das habe es einem Angreifer ermöglicht, eine Cosmos-Chain mit Single-Validator aufzusetzen, eine IBC-Verbindung zum Contract zu öffnen, gefälschte Pakete mit zulässigen Token-Denoms zu senden und anschließend regulär saTokens zu erhalten, ohne dass eine entsprechende Besicherung hinterlegt war. Betroffen waren laut Common Prefix sieben Assets: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB und sawstETH. Der Angreifer habe die Tokens über Axelar's reguläre Bridge-Kanäle eingelöst und dabei Escrow-Bestände abgezogen. Die Untersuchung führt die Lücke auf den ursprünglichen Deployment-Zeitpunkt Anfang 2023 zurück; auch eine Migration am 5. März habe die fehlenden Validierungen unverändert übernommen. Unentdeckt blieb der Abfluss bis zum 17. Juni, als eine routinemäßige Cross-Chain-Übertragung scheiterte, weil das Escrow-Konto nicht mehr ausreichend gedeckt war. Secret Network verwies darauf, dass verschlüsselte Kontostände die Erkennung der Unterdeckung erschwert hätten; zudem seien die Funktionen zur Prüfung der Transferquellen bei einem früheren Redesign entfernt worden. Nach Bekanntwerden des Vorfalls kappte Axelar die Verbindungen "Secret" und "SecretSNIP". Auch der Cross-Chain-Router Squid nahm Secret Network aus seiner Oberfläche. Axelar erklärte, die eigenen Abschottungsmaßnahmen hätten eine Ausweitung über den betroffenen Contract hinaus verhindert; andere Chains, Escrow-Konten, Kanäle oder Komponenten des Kernprotokolls seien nicht betroffen. Common Prefix verfolgte die abgezogenen Vermögenswerte nach eigenen Angaben über Osmosis und Ethereum, bevor Börsen und Strafverfolgungsbehörden eingeschaltet wurden. Axelar teilte mit, weiterhin mit den relevanten Parteien zu koordinieren und die betroffene Verbindung vorerst offline zu lassen.