攻撃者は、Axelar (AXL) と接続された Secret (SCRT) ブリッジから約467万ドルを吸い上げた。原因は、裏付け資産のないトークンをゼロからミントしてしまう欠陥コントラクトの悪用だった。
重要ポイント:
- Secret Networkの欠陥コントラクトにより、攻撃者は裏付けのないトークンをミントし、約467万ドルを流出させた。
- Secretは残高をデフォルトで暗号化するため不正が見えにくく、資金流出は7日間発覚しなかった。
- Axelarは問題のあった接続を無効化し、中核プロトコルは侵害されていないと強調した。
Secret Networkブリッジで数百万ドルが消失
流出は6月10日に始まったが、Secretが残高をデフォルトで暗号化しているため、担保の欠損はオンチェーンに現れず、7日間誰にも気づかれなかった。6月17日、通常のクロスチェーン送金が、エスクロー口座の残高不足で失敗したことで初めて問題が浮上した。調査の結果、初日に行われた7件の不審な払い出しに不足分が遡れることが判明した。
Axelarは6月19日にこの損失を確認し、数時間以内にSecretおよびSecret-SNIP関連の接続を停止、中核プロトコルには一切触れられていないと強調した。チームは、取引所や法執行機関と連携し資金の追跡を進めており、そのうち約67万2,000ドルは依然として攻撃者のメインウォレットに手付かずで残っているという。
関連記事: ビットコインETFからの資金流出が63.5億ドルで過去最大に、しかしパニック売りは沈静化の兆し
無限ミントの欠陥がコントラクトを欺いた
問題のコントラクトは、ブリッジされた資産のSecretラップド版をミントする役割を担っていたが、入金がどのチャネルから来たかを確認せず、トークン名が許可リストに載っているかどうかだけを照合していた。
調査企業 Common Prefix は、この単一の抜け穴がどのように事態を悪化させたのかを示すポストモーテムを公開している。ネットワークがデフォルトでトランザクションを秘匿する設計のため、完全公開型のレジャーよりも攻撃者の追跡がはるかに困難だった。
攻撃者はこの欠陥を突くため、1バリデータのみのチェーンを立ち上げ、無許可のチャネルを開設し、許可リストからそのまま拝借したトークン名を載せた偽パケットを自分でリレーした。
コントラクトはこれらを正規の入金として受け入れ、裏付け資産が一切ないにもかかわらず、実際に償還可能なトークンをミントしてしまった。
その後、攻撃者は正規チャネル経由でこれらの偽トークンを償還し、7種類のラップド資産にまたがってエスクローを空にした。この欠陥は新しいものではなく、同社の報告によれば、同じロジックは2023年からコード内に存在し、2026年3月のマイグレーションも生き残っていた。Secret側は、ブリッジ構築時に外部監査を依頼していなかったことも付け加えている。
クロスチェーンブリッジの脆弱性は依然として深刻
盗まれた資金はOsmosisを経由して移動し、分散型取引所で Ether (ETH) にスワップされたのち、数十の新規ウォレットに分散され、最終的に3つの中央集権型取引所へと送られた。市場全体の反応は限定的で、Axelarトークンは当日約2.2%下落、Secretはほぼ横ばいにとどまった。
とはいえ、この損失はクロスチェーンインフラにとって厳しい一年をさらに象徴する出来事となった。類似のロック＆ミント設計に基づくブリッジは依然として暗号資産業界で最も狙われる攻撃面であり、同様の欠陥により、業界全体で2026年だけで3億4,000万ドル超の損失が発生している。被害例には、Resolvの2,500万ドル流出、Verusの1,100万ドル損失、IoTeXへの400万ドルの攻撃などが含まれる。