Axelar пояснила происхождение эксплойта моста Secret Network на $4,67 млн

Axelar уточнила детали инцидента, связанного с Secret Network и потерей $4,67 млн, подчеркнув, что компрометации ни самой Axelar, ни протокола InterBlockchain Communication (IBC) не было. Поводом для разъяснений стал постмортем компании Common Prefix, которая связала событие 10 июня с уязвимым смарт-контрактом в экосистеме Secret Network. По данным Axelar, атакованный контракт не разрабатывался, не разворачивался и не обслуживался ее командой. Речь идет о форке реализации CW20ICS20, используемой для оборачивания активов, поступающих через IBC. Как утверждает Axelar, разработчики форка убрали две ключевые проверки безопасности, которые обычно блокируют несанкционированный выпуск токенов. Это привело к уязвимости типа "infinite mint", позволявшей чеканить необеспеченные активы. Axelar отмечает, что измененная версия контракта фактически изменила допущения о доверии, при этом повторного аудита безопасности не проводилось. К аналогичному выводу пришла и Common Prefix: исследователи установили, что контракт выпускал обернутые активы Secret, известные как saTokens, не проверяя исходный канал входящих переводов. По описанию расследования, злоумышленник создал Cosmos-цепочку с одним валидатором и открыл IBC-соединение с контрактом. Затем он отправлял поддельные пакеты с "разрешенными" деноминациями токенов и получал легитимные saTokens без какого-либо обеспечения. Эксплойт затронул семь активов: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. По информации Common Prefix, далее эти активы были выведены через легитимные каналы моста Axelar, что позволило опустошить средства, находившиеся на эскроу-счетах. Расследование указывает, что уязвимость присутствовала с момента первоначального разворачивания контракта в начале 2023 года. Миграция 5 марта сохранила отсутствие тех же проверок. Хищение оставалось незамеченным до 17 июня: тогда обычный кроссчейн-перевод не прошел из-за недостатка средств на эскроу-счете. В Secret Network заявили, что из-за шифрования балансов выявить недостачу было сложно, а функции проверки источников переводов были удалены при более раннем редизайне контракта. После обнаружения проблемы Axelar отключила соединения Secret и SecretSNIP. Кроссчейн-роутер Squid также убрал Secret Network из интерфейса. Axelar заявляет, что меры "фаерволинга" не позволили инциденту распространиться за пределы затронутого контракта, и что никакие другие цепочки, эскроу-счета, каналы или компоненты ее базового протокола не пострадали. Common Prefix проследила движение похищенных активов через Osmosis и Ethereum, после чего к процессу подключились биржи и правоохранительные органы. Axelar сообщила, что продолжает координацию с заинтересованными сторонами, сохраняя проблемное подключение отключенным.