Зловмисник вивів приблизно 4,67 мільйона доларів з мосту Axelar мережі Secret Network, експлуатуючи вразливість у спеціальному контракті токенів, і крадіжка залишалася непоміченою протягом семи днів, згідно з посмертним аналізом, опублікованим у п'ятницю блокчейн-дослідницькою фірмою та головним стюардом Axelar Common Prefix.

Експлойт вразив модифікований контракт CW20-ICS20 на Secret — з'єднання, яке обробляє активи, передані з Axelar. Контракт карбував Secret-загорнуті версії Axelar-загорнутих активів, відомих як saTokens, без перевірки, з якого каналу надійшов вхідний переказ. Цей недолік дозволив зловмиснику підробляти депозити та карбувати справжні saTokens, не маючи жодного забезпечення.

Відкриття IBC-каналу не вимагає дозволу, тому, в дещо хитромудрому кроці, зловмисник запустив мережу Cosmos з одним валідатором, відкрив канал до контракту мосту та самостійно ретранслював підроблені пакети, що містили номінали токенів, які відповідали дозволеному списку контракту. Контракт не міг відрізнити ці номінали від тих, що надходили через реальний канал Axelar, тому він карбував saTokens проти них. Погашення відкарбованих балансів назад через легітимний канал Axelar потім вивільняло фактичні активи, що зберігалися в ескроу.

Витік охопив сім saTokens: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH, згідно з Common Prefix.

Вразливість не була новою. Common Prefix відстежила її до початкового розгортання контракту на початку 2023 року, а міграція 5 березня, яка оновила байт-код для нових функцій, перенесла ті ж самі відсутні перевірки. Атака 10 червня була спрямована на цей мігрований код.

У своєму власному описі Secret Network заявила, що контракт мосту був адаптований з моделі ескроу до моделі карбування для інтеграції з Axelar, і що дві функції, які мали б перевіряти джерело переказу, були видалені під час цієї переробки. Команда Secret додала, що Axelar не запитував зовнішній аудит в рамках інтеграції.

Баланси в мережі зашифровані за замовчуванням, тому відсутнє забезпечення не було видно в блокчейні так, як це було б у випадку виснаженого пулу на Ethereum. Дефіцит виявився лише 17 червня, коли звичайний крос-чейн переказ на Axelar завершився з помилкою, що свідчила про те, що ескроу-рахунок більше не містить достатньо коштів для його покриття. Слідчі відстежили прогалину до семи виведень, здійснених ще 10 червня.

Однак Secret у своєму дописі стверджувала, що "жодні ефективні механізми моніторингу, виявлення аномалій або екстреної паузи не спрацювали в інфраструктурі мосту Axelar, щоб ідентифікувати та тимчасово зупинити надзвичайно великі або підозрілі перекази до того, як активи мосту були суттєво виведені з Axelar."

Це відкриття дещо нагадує нещодавно виявлену вразливість у Zcash, іншій зашифрованій мережі, яка могла дозволити хакеру створити "необмежену" кількість підроблених токенів у пулі. Розкриття цієї вразливості призвело до падіння ціни токена ZEC більш ніж на 30%.

Аварійний комітет Axelar відключив з'єднання Secret та Secret-SNIP після виявлення, а крос-чейн маршрутизатор Squid видалив Secret зі свого інтерфейсу. Axelar заявила, що її основний протокол ніколи не був скомпрометований, і що жодні інші мережі, канали або ескроу-рахунки не були зачеплені. Команда Secret була повідомлена про необхідність зупинити та мігрувати постраждалий контракт.

Відстеження Common Prefix показує, що викрадені активи хакера були виведені до Axelar, маршрутизовані через Osmosis за допомогою автоматичної переадресації пакетів, потім переведені в Ethereum і здебільшого обміняні на ефір на CoW Protocol. Ефір був розділений приблизно на 30 переказів на нові гаманці, перш ніж потрапити на депозитні адреси KuCoin, ChangeNow та HitBTC.

Обидва токени продемонстрували зростання цін за останні 24 години, незважаючи на розкриття інциденту. AXL від Axelar зріс приблизно на 1,3%, згідно зі сторінкою цін Axelar на The Block, тоді як SCRT від Secret зріс на 5,6% за останню добу на момент публікації.

Цей витік є останнім у низці крос-чейн експлойтів у 2026 році. У квітні зловмисник вивів близько 292 мільйонів доларів у rsETH з мосту Kelp DAO на базі LayerZero, що є значно більшою подією, наслідки якої поширилися на Aave, перш ніж зусилля спільноти з відновлення стримали її.

У своєму дописі на форумі Secret Network заявила, що приблизно 770 000 доларів викрадених коштів залишалися на гаманці зловмисника на Axelar на момент публікації. Secret заявила, що ідентифікувала ці активи, позначила їх як такі, що підлягають відновленню, та звернулася до команди Axelar з проханням заморозити їх або працювати зі своєю спільнотою для цього, "запит, який вони вирішили не задовольняти". Axelar окремо заявила, що координує дії з біржами та правоохоронними органами і не назвала термінів відновлення з'єднання.

Дані Axelarscan, переглянуті The Block, показали, що гаманець зловмисника на Axelar все ще містив 6,2 WBTC, 239 324 USDC, 64,04 WBNB та 248,85 AXL, що становило приблизно 672 000 доларів за цінами на момент публікації.

Axelar відхилила будь-яке тлумачення, яке покладає провину на її бік. "Ні Axelar, ні IBC не були скомпрометовані", — написала команда в подальшому дописі. "Експлуатований смарт-контракт токенів не був розроблений, розгорнутий або підтримувався Axelar." Команда заявила, що недолік не полягав у логіці, специфічній для Axelar, або в самому IBC.

The Block не зміг одразу зв'язатися з Axelar або Secret Network для отримання коментарів.