Неведомый вывел около $4,67 млн с моста меж Secret Network и Axelar, воспользовавшись незащищенностью «нескончаемой эмиссии» в форке договора токена. Хищение не замечали 7 дней.
В Axelar сообщили, что вокруг происшествия появилась неурядица, и пояснили: ни протокол, ни IBC — протокол обмена данными меж блокчейнами в экологической системе Cosmos — не пострадали.
В соответствии с отчету Common Prefix, которая курирует развитие Axelar, уязвимый смарт-договор токена в Axelar не разрабатывали, не разворачивали и не поддерживали. Интегрированные механизмы изоляции (файрволлинг) не дали результатам распространиться на остальные сети.
Договор оказался форком реализации CW20-ICS20, в каком закомментировали две главные проверки безопасности. Конкретно это сделало вероятной «нескончаемую эмиссию»: форк изменил модель доверия договора, но последующий аудит после чего не проводили. Согласно мнению команды Axelar, дело не в логике самого протокола и не в IBC.
Создавать договоры, оборачивающ?? активы остальных сетей через IBC, может кто угодно — разрешения с этой целью не требуются. По такому же принципу оборачивают активы и в Secret Network, но эта самая реализация оказалась уязвимой: в её форке убрали главные проверки.
Под удар попал измененный договор CW20-ICS20. Он воспринимает поступающие из Axelar активы и выпускает их обернутые версии — saToken. Договор не инспектировал канал входящего перевода, потому злодей подделывал вклады и чеканил эти токены без обеспечения.
Атакующий развернул свой блокчейн на базе Cosmos с единственным валидатором, открыл канал к договору моста и сам пересылал поддельные пакеты. В них стояли обозначения токенов из «белого перечня» договора, и тот воспринимал их за переводы по реальному каналу Axelar. Под подобные пакеты договор выпускал saToken, а их оборотный обмен через реальный канал вызволял активы из эскроу.
Всего взломщик вывел 7 saToken: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH.
Незащищенность оставалась в коде длительное время. Common Prefix проследила её до первого размещения договора сначала 2023 года. Миграция в марте 2026 года обновила б-код для новых функций, но перенесла в него те же пропущенные проверки. Атака 10 июня пришлась уже на данный освеженный код.
Secret Network обрисовала положение дел по другому. По её данным, договор моста переделали из модели эскроу в модель эмиссии под интеграцию с Axelar и при всем этом удалили две функции, проверявш?? источник перевода. Наружный аудит проект в рамках интеграции не запрашивал.
По теме: мост Verus-Ethereum взломали — вред составил $11,58 млн
Почему хищение не замечали 7 дней
Балансы в сети по дефлоту закодированы, потому недостаток обеспечения нельзя было узреть ончейн — в отличие от опустошенного пула в Ethereum. Недостаток нашли только 17 июня: обыденный кроссчейн-перевод в Axelar не прошел, так как на эскроу-счете не хватило средств. Расследование вывело на 7 заключений средств, изготовленных 10 июня.
В Secret Network сообщили, что комплекс инфраструктурных объектов моста Axelar не включила мониторинг, выявление аномалий и критическую приостановку — по другому большие и подозрительные переводы приостановили бы ранее.
Критический комитет Axelar отключил подключения Secret и Secret-SNIP, а кроссчейн-маршрутизатор Squid убрал Secret из интерфейса. В Axelar отметили, что ядро протокола не пострадало, а остальные сети, каналы и эскроу-счета остались нетронутыми. Команде Secret дали поручение приостановить и мигрировать уязвимый договор.
По теме: взломщик выпустил квадриллион токенов в итоге нападения на кроссчейн-мост MAP Protocol
Куда ушли похищенные активы
По данным Common Prefix, похищенное вывели в Axelar, провели через Osmosis с автоматической пересылкой пакетов и перевели в Ethereum. Там огромную часть поменяли на Ethereum в CoW Protocol.
Эфир распределили меж новыми кошельками — приблизительно 30 переводов. После чего средства попали на депозитные адреса KuCoin, ChangeNow и HitBTC.
По данным Secret Network, на момент выхода поста на кошельке атакующего оставалось около $770 000. Команда посчитала, что эти средства можно возвратить, и попросила Axelar заморозить их — без помощи других либо силами общества.
Проект на просьбу не отозвался, сообщив только, что работает с биржами и сотрудниками правоохранительных органов. Сроков восстановления подключения в компании не назвали.
The Block ссылаясь на Axelarscan сказало, что на кошельке атакующего еще оставались 6,2 WBTC, 239 324 USDC, 64,04 WBNB и 248,85 AXL — около $672 000 по ценам на время опубликования.