ब्लॉकचेन रिसर्च फर्म और प्रमुख एक्सेलार स्टुअर्ड कॉमन प्रिफिक्स द्वारा शुक्रवार को प्रकाशित एक पोस्टमॉर्तम के अनुसार, एक हमलावर ने सीक्रेट नेटवर्क के एक्सेलार ब्रिज से लगभग $4.67 मिलियन निकाल लिए, जो एक कस्टम टोकन कॉन्ट्रैक्ट में एक खामी का फायदा उठाकर किया गया था, और यह चोरी सात दिनों तक undetected रही।

इस exploit ने सीक्रेट पर एक संशोधित CW20-ICS20 कॉन्ट्रैक्ट को प्रभावित किया, जो एक्सेलार से ब्रिज किए गए एसेट्स को संभालता है। कॉन्ट्रैक्ट ने एक्सेलार-रैप्ड एसेट्स के सीक्रेट-रैप्ड वर्जन, जिन्हें saTokens के नाम से जाना जाता है, यह जांच किए बिना बनाए कि आवक ट्रांसफर वास्तव में किस चैनल से आया था। इस कमी ने हमलावर को जाली डिपॉजिट बनाने और बिना किसी वास्तविक समर्थन के असली saTokens mint करने की अनुमति दी।

एक IBC चैनल खोलने के लिए किसी अनुमति की आवश्यकता नहीं होती है, इसलिए एक यकीनन चतुर चाल में, हमलावर ने एक एकल-वैलिडेटर कॉसमॉस चेन शुरू की, ब्रिज कॉन्ट्रैक्ट के लिए एक चैनल खोला, और खुद ही जाली पैकेट्स को रिले किया, जिनमें टोकन के ऐसे मूल्यवर्ग थे जो कॉन्ट्रैक्ट की अनुमति सूची से मेल खाते थे। कॉन्ट्रैक्ट उन मूल्यवर्ग को एक्सेलार के असली चैनल पर आने वाले मूल्यवर्ग से अलग नहीं पहचान पाया, इसलिए इसने उनके बदले saTokens mint कर दिए। मिंट किए गए बैलेंस को वैध एक्सेलार चैनल पर वापस रिडीम करने से फिर एस्क्रो में रखे वास्तविक एसेट्स जारी हो गए।

कॉमन प्रिफिक्स के अनुसार, यह निकासी सात saTokens पर फैली हुई थी: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB और sawstETH।

यह भेद्यता नई नहीं थी। कॉमन प्रिफिक्स ने इसे 2023 की शुरुआत में कॉन्ट्रैक्ट के प्रारंभिक डिप्लॉयमेंट तक खोजा, और 5 मार्च को हुए एक माइग्रेशन, जिसने नई सुविधाओं के लिए बाइटकोड को अपडेट किया था, ने भी वही अनुपलब्ध चेक आगे बढ़ाए। 10 जून का हमला उसी माइग्रेट किए गए कोड पर हुआ।

अपनी खुद की रिपोर्ट में, सीक्रेट नेटवर्क ने कहा कि एक्सेलार इंटीग्रेशन के लिए ब्रिज कॉन्ट्रैक्ट को एक एस्क्रो मॉडल से मिंट मॉडल में अनुकूलित किया गया था, और उस रीवर्क में वे दो फ़ंक्शन हटा दिए गए थे जो ट्रांसफर के स्रोत को सत्यापित करते। सीक्रेट टीम ने यह भी कहा कि इंटीग्रेशन के हिस्से के रूप में एक्सेलार द्वारा कोई बाहरी ऑडिट का अनुरोध नहीं किया गया था।

नेटवर्क पर बैलेंस डिफ़ॉल्ट रूप से एन्क्रिप्टेड होते हैं, इसलिए लापता collateral ऑन-चेन पर उस तरह से दिखाई नहीं दे रही थी जैसे एथेरियम पर एक खाली पूल दिखाई देता है। यह कमी 17 जून को ही सामने आई, जब एक्सेलार पर एक सामान्य क्रॉस-चेन ट्रांसफर विफल हो गया, जिसमें एक त्रुटि दिखाई दे रही थी कि एस्क्रो खाते में इसे कवर करने के लिए अब पर्याप्त नहीं था। जांचकर्ताओं ने इस कमी को 10 जून को किए गए सात withdrawals तक ट्रैक किया।

हालाँकि, सीक्रेट ने अपनी पोस्ट में तर्क दिया कि "एक्सेलार ब्रिज इन्फ्रास्ट्रक्चर के भीतर कोई प्रभावी निगरानी, विसंगति-पता लगाने, या आपातकालीन विराम तंत्र ट्रिगर नहीं हुए, ताकि ब्रिज एसेट्स को एक्सेलार से पूरी तरह से निकलने से पहले असामान्य रूप से बड़े या संदिग्ध ट्रांसफर की पहचान की जा सके और उन्हें अस्थायी रूप से रोका जा सके।"

यह खोज कुछ हद तक Zcash पर हाल ही में खोजी गई भेद्यता से मिलती-जुलती है, जो एक और एन्क्रिप्टेड नेटवर्क है, और जिसने एक हैकर को पूल के भीतर "असीमित" संख्या में नकली टोकन बनाने की अनुमति दी होती। इस भेद्यता के खुलासे के कारण ZEC टोकन की कीमत 30% से अधिक गिर गई थी।

खोज के बाद एक्सेलार की आपातकालीन समिति ने सीक्रेट और सीक्रेट-स्निप कनेक्शन को निष्क्रिय कर दिया, और क्रॉस-चेन राउटर Squid ने सीक्रेट को अपने frontend से हटा दिया। एक्सेलार ने कहा कि उसका मुख्य प्रोटोकॉल कभी प्रभावित नहीं हुआ और किसी अन्य चेन, चैनल, या एस्क्रो खाते को छुआ नहीं गया। सीक्रेट टीम को प्रभावित कॉन्ट्रैक्ट को रोकने और माइग्रेट करने के लिए सूचित किया गया था।

कॉमन प्रिफिक्स की जांच से पता चलता है कि हैकर की चोरी की गई संपत्तियां एक्सेलार में वापस ले ली गईं, स्वचालित पैकेट-फॉरवर्डिंग का उपयोग करके Osmosis के माध्यम से रूट की गईं, फिर एथेरियम पर ब्रिज की गईं और ज्यादातर CoW प्रोटोकॉल पर ईथर के लिए बदली गईं। ईथर को लगभग 30 ट्रांसफरों में नए वॉलेट्स में बांटा गया, इससे पहले कि वह KuCoin, ChangeNow, और HitBTC के डिपॉजिट एड्रेस पर पहुंचा।

घटना के खुलासे के बावजूद पिछले 24 घंटों में दोनों टोकन की कीमतों में वृद्धि देखी गई है। द ब्लॉक के एक्सेलार प्राइस पेज के अनुसार, एक्सेलार का AXL लगभग 1.3% ऊपर है, जबकि प्रकाशन के समय सीक्रेट का SCRT पिछले दिन में 5.6% ऊपर है।

यह निकासी 2026 में हुए क्रॉस-चेन exploits की श्रृंखला में नवीनतम है। अप्रैल में, एक हमलावर ने Kelp DAO के LayerZero-आधारित ब्रिज से rsETH में लगभग $292 मिलियन निकाले, यह एक बहुत बड़ी घटना थी जिसका प्रभाव Aave तक फैल गया था, इससे पहले कि एक सामुदायिक रिकवरी प्रयास ने इसे नियंत्रित किया।

अपनी फ़ोरम पोस्ट में, सीक्रेट नेटवर्क ने कहा कि पोस्ट के समय हमलावर के एक्सेलार वॉलेट में चोरी किए गए फंड में से लगभग $770,000 बचे हुए थे। सीक्रेट ने कहा कि उसने उन एसेट्स की पहचान की, उन्हें पुनर्प्राप्त करने योग्य के रूप में चिह्नित किया, और एक्सेलार टीम से उन्हें फ्रीज करने या अपने समुदाय के साथ मिलकर ऐसा करने का अनुरोध किया, "एक अनुरोध जिसे उन्होंने आगे नहीं बढ़ाने का फैसला किया है।" एक्सेलार ने अलग से कहा कि वह एक्सचेंजों और कानून प्रवर्तन के साथ समन्वय कर रहा है और कनेक्शन को बहाल करने के लिए कोई समय-सीमा नहीं दी है।

द ब्लॉक द्वारा देखे गए एक्सेलारस्कैन डेटा से पता चला कि हमलावर के एक्सेलार वॉलेट में अभी भी 6.2 WBTC, 239,324 USDC, 64.04 WBNB और 248.85 AXL थे, जिनकी कीमत प्रकाशन के समय लगभग $672,000 थी।

एक्सेलार ने किसी भी ऐसी व्याख्या का खंडन किया है जो विफलता को उसकी तरफ डालती है। टीम ने एक फॉलो-अप पोस्ट में लिखा, "न तो एक्सेलार और न ही IBC के साथ समझौता किया गया था।" "जिस टोकन स्मार्ट कॉन्ट्रैक्ट का फायदा उठाया गया था, उसे एक्सेलार द्वारा विकसित, डिप्लॉय या बनाए नहीं रखा गया था।" टीम ने कहा कि खामी एक्सेलार-विशिष्ट लॉजिक में या IBC में ही नहीं थी।

द ब्लॉक टिप्पणी के लिए तुरंत एक्सेलार या सीक्रेट नेटवर्क तक नहीं पहुंच सका।