استنزف مهاجم حوالي 4.67 مليون دولار من جسر أكسيلار (Axelar) التابع لشبكة سيكريت (Secret Network) عن طريق استغلال ثغرة في عقد توكن مخصص، وظلت السرقة دون اكتشاف لمدة سبعة أيام، وفقًا لتحليل ما بعد الواقعة (postmortem) الذي نشرته يوم الجمعة شركة أبحاث البلوكتشين والرائد في إدارة أكسيلار "كومون بريفيكس" (Common Prefix).

استهدف الاستغلال عقد CW20-ICS20 معدّل على شبكة سيكريت، وهو الاتصال الذي يتعامل مع الأصول المحوّلة (bridged) من أكسيلار. قام العقد بسكّ نسخٍ مغلفة من سيكريت (Secret-wrapped) لأصول مغلفة من أكسيلار (Axelar-wrapped)، تُعرف باسم saTokens، دون التحقق من القناة التي جاء منها التحويل الوارد فعليًا. سمحت هذه الثغرة للمهاجم بتزوير الودائع وسكّ (mint) saTokens حقيقية دون أي غطاء لها.

لا يتطلب فتح قناة IBC أي إذن، لذلك، في خطوة يمكن القول إنها ذكية، قام المهاجم بإنشاء سلسلة كوزموس (Cosmos chain) ذات مدقق واحد (single-validator)، وفتح قناة إلى عقد الجسر، وقام بإعادة توجيه حزم مزورة ذاتيًا تحمل فئات توكن مطابقة للقائمة المسموح بها في العقد. لم يتمكن العقد من تمييز هذه الفئات المجردة عن تلك التي تصل عبر قناة أكسيلار الحقيقية، لذلك قام بسكّ saTokens مقابلها. ثم أدى استرداد الأرصدة الممسوكة (minted balances) مرة أخرى عبر قناة أكسيلار الشرعية إلى تحرير الأصول الحقيقية المحتجزة في الضمان (escrow).

شمل الاستنزاف سبعة توكنات saToken: saUSDT، saUSDC، saDAI، saWETH، saWBTC، saWBNB و sawstETH، وفقًا لكومون بريفيكس.

لم تكن الثغرة الأمنية جديدة. تتبعت كومون بريفيكس الثغرة إلى النشر الأولي للعقد في أوائل عام 2023، وقد تضمن تحديث بتاريخ 5 مارس قام بتحديث البايت كود (bytecode) لميزات جديدة نفس الفحوصات المفقودة. استهدف هجوم 10 يونيو هذا الكود المهاجر.

في تقريرها الخاص، ذكرت شبكة سيكريت أن عقد الجسر قد تم تعديله من نموذج الضمان (escrow model) إلى نموذج السكّ (mint model) لتكامل أكسيلار، وأن الوظيفتين اللتين كانتا ستتحققان من مصدر التحويل قد تم إزالتهما في هذا التعديل. أضاف فريق سيكريت أنه لم يتم طلب تدقيق خارجي من قبل أكسيلار كجزء من عملية التكامل.

الأرصدة على الشبكة مشفرة افتراضيًا، لذلك لم يكن الضمان المفقود مرئيًا على السلسلة (on-chain) بالطريقة التي سيكون بها المجمع المستنزف مرئيًا على إيثيريوم. ظهر النقص فقط في 17 يونيو، عندما فشل تحويل عادي عبر السلاسل على أكسيلار مع ظهور خطأ يوضح أن حساب الضمان لم يعد يمتلك ما يكفي لتغطيته. تتبع المحققون الثغرة إلى سبع عمليات سحب تمت في 10 يونيو.

جادلت سيكريت، في منشورها، بأنه "لم يتم تفعيل أي آليات مراقبة فعالة، أو اكتشاف شذوذ، أو إيقاف طارئ ضمن بنية جسر أكسيلار التحتية لتحديد وإيقاف التحويلات الكبيرة أو المشبوهة بشكل غير عادي مؤقتًا قبل استنزاف أصول الجسر بشكل كبير من أكسيلار."

يذكر هذا الاكتشاف إلى حد ما الثغرة الأمنية المكتشفة مؤخرًا في Zcash، وهي شبكة مشفرة أخرى، والتي كان يمكن أن تسمح للمخترق بإنشاء عدد "غير محدود" من التوكنات المزيفة داخل المجمع. أدى الكشف عن الثغرة الأمنية إلى انخفاض سعر توكن ZEC بأكثر من 30%.

قامت لجنة الطوارئ في أكسيلار بتعطيل اتصالات Secret و Secret-SNIP بعد الاكتشاف، وأزال موجه السلاسل المتقاطعة "سكوييد" (Squid) شبكة سيكريت من واجهته الأمامية. قالت أكسيلار إن بروتوكولها الأساسي لم يتأثر أبدًا وأنه لم يتم المساس بأي سلاسل أو قنوات أو حسابات ضمان أخرى. تم إخطار فريق سيكريت بإيقاف العقد المتأثر وترحيله.

يوضح تتبع "كومون بريفيكس" (Common Prefix) أن الأصول المسروقة للمخترق تم سحبها إلى أكسيلار، وتم توجيهها عبر أوزموسيس (Osmosis) باستخدام إعادة توجيه الحزم الآلية، ثم تم تحويلها (bridged) إلى إيثيريوم وتم استبدالها في الغالب بالإيثر على بروتوكول CoW. تم تقسيم الإيثر إلى حوالي 30 عملية تحويل إلى محافظ جديدة قبل أن تستقر في عناوين الإيداع في KuCoin و ChangeNow و HitBTC.

شهد كلا التوكنين مكاسب في الأسعار خلال الـ 24 ساعة الماضية على الرغم من الكشف عن الحادث. ارتفع توكن AXL الخاص بأكسيلار بنحو 1.3%، وفقًا لصفحة أسعار أكسيلار في The Block، بينما ارتفع توكن SCRT الخاص بسيكريت بنسبة 5.6% خلال اليوم الماضي وقت النشر.

هذا الاستنزاف هو الأحدث في سلسلة من الاستغلالات عبر السلاسل في عام 2026. في أبريل، استولى مهاجم على حوالي 292 مليون دولار من rsETH من جسر Kelp DAO القائم على LayerZero، وهو حدث أكبر بكثير انتشرت تداعياته إلى Aave قبل أن تحتويه جهود استعادة من المجتمع.

في منشورها بالمنتدى، ذكرت شبكة سيكريت أن حوالي 770 ألف دولار من الأموال المسروقة بقيت في محفظة المهاجم على أكسيلار وقت النشر. قالت سيكريت إنها حددت هذه الأصول، ووصفتها بأنها قابلة للاسترداد، وطلبت من فريق أكسيلار تجميدها أو العمل مع مجتمعها للقيام بذلك، "وهو طلب قرروا عدم متابعته." قالت أكسيلار بشكل منفصل إنها تنسق مع البورصات وسلطات إنفاذ القانون ولم تحدد جدولًا زمنيًا لاستعادة الاتصال.

أظهرت بيانات Axelarscan التي اطلعت عليها The Block أن محفظة المهاجم على أكسيلار لا تزال تحتوي على 6.2 WBTC، و 239,324 USDC، و 64.04 WBNB، و 248.85 AXL، بقيمة تقريبية 672,000 دولار بأسعار وقت النشر.  

دفعت أكسيلار ضد أي تفسير يضع اللوم عليها. "لم يتم اختراق أكسيلار ولا IBC،" كتب الفريق في منشور متابعة. "العقد الذكي للتوكن المستغل لم يتم تطويره أو نشره أو صيانته بواسطة أكسيلار." قال الفريق إن الثغرة لم تكن في منطق خاص بأكسيلار أو في IBC نفسها.

لم تتمكن The Block من الوصول إلى أكسيلار أو شبكة سيكريت على الفور للتعليق.