19 czerwca projekt blockchainowy Axelar ujawnił włamanie do swojego mostu z protokołem Secret Network. Napastnik wycofał około 4,67 miliona dolarów, wykorzystując lukę "nieskończonego mintowania". Przeanalizowaliśmy incydent związany z Secret Network. Napastnik wykorzystał błąd nieskończonego mintowania w zmodyfikowanej umowie tokena CW20-ICS20 na Secret, aby wyłudzić ≈4,67 miliona dolarów. Napastnik mintował dowolne aktywa Axelar owinięte w Secret, uruchamiając nowy łańcuch Cosmos z 1 walidatorem i… Kradzież pozostała niezauważona przez siedem dni. Według głównego dewelopera Axelar, Common Prefix, błąd został znaleziony w inteligentnej umowie ICS-20 po stronie Secret w połączeniu Cosmos IBC. Algorytm tworzył "owinięte" wersje aktywów (saToken), ale nie weryfikował, z którego kanału pochodziła przychodząca transakcja. To pozwoliło napastnikowi sfałszować depozyty i wyemitować tokeny bez zabezpieczenia. Ponieważ operacje nie wymagały zgody, uruchomił łańcuch w Cosmos z jednym walidatorem, z którego wysyłał pakiety z fałszywymi nominałami aktywów. Komitet kryzysowy Axelar wyłączył połączenia Secret i Secret-SNIP, aby zatrzymać dalsze nieautoryzowane transfery. Zespół koordynuje działania z giełdami i organy ścigania, aby prześledzić fundusze i pomóc w ich odzyskaniu. Zgodnie z oświadczeniem, incydent dotyczy tylko monet saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB i sawstETH. Podstawowy protokół Axelar, inne połączenia IBC oraz natywne aktywa sieci Secret nie są dotknięte. Pomimo doniesień o kradzieży, cena tokena Secret (SCRT) chwilowo wzrosła o prawie 6%, osiągając 0,06 USD. Po korekcie, aktywo handluje w okolicach 0,058 USD, utrzymując dzienny zysk na poziomie około 3%. Jego kapitalizacja rynkowa wynosi około 20 milionów dolarów.
Źródło: ForkLog
