Axelar Network: Hack über Secret-Network-IBC-Bridge – 4,67 Mio. US-Dollar entwendet

Mars Finance zufolge teilte Axelar Network auf X mit, dass ein Sicherheitsvorfall bei Vermögenswerten festgestellt wurde, die über IBC von Axelar zum Secret Network gebrückt wurden. Dabei seien Token im Wert von rund 4,67 Mio. US-Dollar entwendet worden. Nach aktuellem Stand betrifft das Problem ausschließlich den ICS20-Smart-Contract auf der Secret-Seite. Dieser ist Teil der Cosmos-IBC-Verbindung zwischen Secret und Axelar und wird für das Bridging von Assets von Axelar zu Secret genutzt. Nach Entdeckung des Vorfalls deaktivierte das Axelar Emergency Committee umgehend die Verbindungen Secret und SecretSNIP. Das Team steht nach eigenen Angaben in Kontakt mit relevanten Börsen sowie Strafverfolgungsbehörden. Axelar betonte, der Vorfall sei auf Assets beschränkt, die via IBC von Axelar zu Secret transferiert wurden. Andere IBC-Verbindungen oder Secret-Token scheinen nicht betroffen. Weitere Axelar-Integrationen laufen demnach normal, das Kernprotokoll von Axelar sei nicht kompromittiert. Laut einer Analyse von Common Prefix zum Vorfall im Secret Network nutzte der Angreifer eine Schwachstelle für unbegrenztes Minting in einem modifizierten CW20ICS20-Token-Contract auf Secret aus und entwendete so rund 4,67 Mio. US-Dollar. Demnach startete der Angreifer eine neue Cosmos-Chain mit nur einem Validator und leitete IBC-Pakete selbst weiter, um beliebige Secret-umhüllte Axelar-Assets auf Secret zu prägen. Der Contract prüfte dabei nicht den Ursprungskanal (IBC-Channel) eingehender Token. Anschließend habe der Angreifer über die Axelar-Bridge abgezogen. Das Axelar-Protokoll sei nicht kompromittiert worden und habe verhindert, dass sich der Angriff auf andere Chains ausweitet.