19 червня блокчейн-проєкт Axelar розкрив злам мосту з протоколом Secret Network. Зловмисник вивів близько $4,67 млн, скориставшись вразливістю «нескінченного мінту». We analyzed the Secret Network incident. An attacker exploited an infinite-mint bug in a modified CW20-ICS20 token contract on Secret to drain ≈$4.67M. The attacker minted arbitrary Secret-wrapped Axelar assets on Secret by spinning up a new Cosmos chain with 1 validator and… Крадіжка залишалася непоміченою протягом семи днів. За даними основного розробника Axelar — Common Prefix, баг виявили у смартконтракті ICS-20 на боці Secret у Cosmos IBC-з’єднанні. Алгоритм створював «обгорнуті» версії активів (saToken), однак не перевіряв, з якого каналу надходила вхідна транзакція. Це дозволило атакувальнику сфальсифікувати депозити та випускати токени без забезпечення. Оскільки операції не потребували дозволу, він запустив у Cosmos ланцюг з одним валідатором, з якого пересилав пакети з фейковими номіналами активів. Комітет із надзвичайних ситуацій Axelar відключив з’єднання Secret та Secret-SNIP, щоб зупинити нові несанкціоновані перекази. Команда координує дії з біржами та правоохоронними органами для відстеження коштів і сприяння їх поверненню. Згідно із заявою, інцидент обмежений монетами saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH. Основний протокол Axelar, інші IBC-з’єднання та нативні активи Secret Network не зачеплені. Попри повідомлення про крадіжку, ціна токена Secret (SCRT) у моменті підскочила майже на 6%, досягнувши $0,06. Після корекції актив торгується в районі $0,058, зберігаючи добове зростання близько 3%. Капіталізація становить ~$20 млн.

Джерело: ForkLog