Токены, переведенные через мост Axelar, на сумму 4,67 миллиона долларов были похищены в результате взлома контракта в сети Secret

Примерно на 4,67 миллиона долларов токенов были опустошены из сети Secret после того, как злоумышленник использовал уязвимость в смарт-контракте на базе ICS-20, используемом для обеспечения межсетевых переводов, согласно заявлению Axelar от 19 июня.

Инцидент выявил еще одну слабость в инфраструктуре моста, соединяющего блокчейны на базе Cosmos, но Axelar заявил, что проблема была изолирована в контракте ICS-20 на стороне Secret, используемом в соединении Cosmos IBC между Secret и Axelar. Компания заявила, что основной протокол Axelar, другие соединения IBC, другие цепи и другие эскроу-счета не пострадали.

Похищенные активы представляли собой токены, переведенные из Axelar в сеть Secret, блокчейн, ориентированный на конфиденциальность и построенный на базе Cosmos SDK. Согласно исследованию безопасности блокчейнов от компании Common Prefix, злоумышленник использовал модифицированный токен-контракт CW20-ICS20 в сети Secret и похитил около 4,67 миллиона долларов в виде семи активов, включая обернутые USDT, USDC, DAI, WETH, WBTC, WBNB и wstETH.

Уязвимость контракта на стороне Secret привела к утечке активов, переведенных через мост Axelar

Компания Common Prefix заявила, что уязвимость находилась в модифицированном контракте CW20-ICS20, развернутом в сети Secret для обработки входящих переводов IBC, согласно отчету, обобщенному Binance Square.

Этот контракт использовался для создания обернутых форм токенов Axelar после того, как пользователи вносили свои токены в сеть Secret с использованием протокола IBC. Однако контракт не проверял два важных предварительных условия: действительно ли переводы токенов были инициированы через аутентичный канал IBC, контролируемый Axelar, и не превышает ли запрос на выкуп сумму, доступную в эскроу.

Игнорируя эти предварительные условия, контракт принимал все вредоносные пакеты IBC как действительные, если идентификатор токена находился в белом списке.

Фальшивые пакеты IBC создавали необеспеченные обернутые токены

Согласно анализу Common Prefix, злоумышленник создал минимальную блокчейн-сеть Cosmos с одним валидатором, открыл новый канал IBC для сети Secret и отправил фальшивые пакеты депозита через этот маршрут.

Уязвимый контракт получил пакеты и создал необеспеченные обернутые токены в сети Secret. Атака продолжалась путем выкупа обернутых токенов через правильный механизм Axelar, опустошая эскроу-счета реальными переведенными активами.

Common Prefix утверждал, что контракт не проверял, из какого канала IBC поступали токены. Это позволило вредоносным пакетам, отправленным через контролируемую цепь, приниматься как правильная операция моста.

Проблема, по-видимому, существовала в течение длительного времени. Common Prefix проследила отсутствие проверки подлинности до ранних публичных коммитов в 2023 году и заявила, что миграция в марте 2026 года сохранила ту же логику, вместо того чтобы устранить корневую уязвимость.

Структурный сбой заключался в аутентификации сообщений. Система предполагала, что компоненты верхнего уровня будут выполнять аутентификацию, но это предположение не оправдалось в условиях маршрутизации атакующего. В результате поддельные сообщения могли проходить, когда условия канала и токена совпадали.

Экстренное реагирование изолирует затронутый маршрут

Axelar заявила, что их оперативная группа немедленно отключила соответствующее соединение IBC с Secret Network сразу после выявления инцидента.

Группа подчеркнула, что взлома основного протокола Axelar не произошло и проблема ограничилась только Secret Network. Axelar также сообщила, что связывается с биржами и правоохранительными органами.

Для пользователей, которые перенесли активы из Axelar в Secret через затронутый маршрут, непосредственной проблемой является выкуп. Поскольку счет эскроу опустошен, токены на базе Secret больше нельзя выкупить на базовые токены через этот канал.

Процесс восстановления может быть сложнее, чем при типичном взломе моста публичной блокчейн-сети, поскольку Secret Network по умолчанию шифрует балансы и переводы. Это означает, что кошелек атакующего и транзакции эксплойта труднее проверить через стандартные публичные блокчейн-обозреватели.

Безопасность мостов проходит еще одну проверку на валидацию

Потери в размере $4,67 млн меньше, чем при некоторых крупнейших взломах мостов, но инцидент все равно важен, потому что он затронул знакомую уязвимость: проверку подлинности кросс-чейн сообщений.

Как ранее сообщал Cryptopolitan, мост Syscoin был приостановлен в этом месяце после того, как злоумышленник использовал уязвимость валидации для выпуска примерно 5 миллиардов несанкционированных токенов SYS. Этот инцидент добавил растущий список взломов мостов в 2026 году.

В феврале CrossCurve потерял около 3 миллионов долларов после того, как злоумышленники использовали уязвимости в смарт-контрактах протокола, согласно постмортему от Halborn.

Дело Secret является доказательством того, что одно неучтенное предположение в кросс-чейн инфраструктуре достаточно для полного опустошения счета эскроу. Возможно, что основной протокол остается невредимым, в то время как контракты, расположенные на границе моста, все еще могут подвергать риску средства пользователей.

И Axelar, и Secret Network заявили, что готовится полный постмортем. До тех пор скомпрометированный канал служит предупреждением о том, что безопасность мостов зависит не только от основного протокола, но и от каждого смарт-контракта, обрабатывающего межсетевые коммуникации.