19 июня блокчейн-проект Axelar раскрыл взлом моста с протоколом Secret Network. Злоумышленник вывел около $4,67 млн, использовав уязвимость «бесконечного минта». We analyzed the Secret Network incident. An attacker exploited an infinite-mint bug in a modified CW20-ICS20 token contract on Secret to drain ≈$4.67M. The attacker minted arbitrary Secret-wrapped Axelar assets on Secret by spinning up a new Cosmos chain with 1 validator and… Кража оставалась незамеченной на протяжении семи дней. По данным основного разработчика Axelar — Common Prefix, баг обнаружили в смарт-контракте ICS-20 на стороне Secret в Cosmos IBC-соединении. Алгоритм создавал «обернутые» версии активов (saToken), однако не проверял, из какого канала поступала входящая транзакция. Это позволило атакующему сфальсифицировать депозиты и выпускать токены без обеспечения. Поскольку операции не требовали разрешения, он запустил в Cosmos цепочку с одним валидатором, из которой пересылал пакеты с фейковыми номиналами активов. Комитет по чрезвычайным ситуациям Axelar отключил соединения Secret и Secret-SNIP, чтобы остановить новые несанкционированные переводы. Команда координирует действия с биржами и правоохранительными органами для отслеживания средств и содействия их возврату. Согласно заявлению, инцидент ограничен монетами saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB и sawstETH. Основной протокол Axelar, другие IBC-соединения и нативные активы Secret Network не затронуты. Несмотря на сообщение о краже, цена токена Secret (SCRT) в моменте подскочила почти на 6%, достигнув $0,06. После коррекции актив торгуется в районе $0,058, сохраняя суточный рост около 3%. Капитализация составляет ~$20 млн.

Источник: ForkLog