Atakujący wyprowadził około 4,67 mln dol. z mostu Secret (SCRT) powiązanego z Axelar (AXL), wykorzystując wadliwy kontrakt, który wybijał niepokryte tokeny z niczego.
Kluczowe punkty:
- Wadliwy kontrakt Secret Network pozwolił atakującemu wybijać niepokryte tokeny, co doprowadziło do kradzieży około 4,67 mln dol.
- Kradzież pozostawała ukryta przez siedem dni, dopóki nieudany transfer nie ujawnił pustego escrow.
- Axelar wyłączył dotknięte połączenia i podkreślił, że jego główny protokół nie został naruszony.
Most Secret Network traci miliony
Kradzież rozpoczęła się 10 czerwca, lecz przez siedem dni pozostawała niezauważona, ponieważ Secret domyślnie szyfruje salda i brakujący depozyt zabezpieczający nie pojawiał się on-chain. Wyszła na jaw dopiero 17 czerwca, gdy rutynowy transfer międzyłańcuchowy nie powiódł się, ponieważ konto escrow zostało wyczerpane. Śledczy powiązali następnie niedobór z siedmioma podejrzanymi wypłatami dokonanymi pierwszego dnia.
Axelar potwierdził stratę 19 czerwca i w ciągu kilku godzin wyłączył dotknięte połączenia Secret oraz Secret-SNIP, podkreślając, że jego główny protokół nie został naruszony. Zespół poinformował, że skontaktował się z giełdami i organami ścigania, aby namierzyć środki, z czego około 672 000 dol. nadal pozostaje nietknięte w głównym portfelu atakującego.
Zobacz także: Rekordowy odpływ z Bitcoin ETF sięga 6,35 mld dol., ale panika może słabnąć
Błąd „nieskończonego mintu” zmylił kontrakt
Podatny kontrakt wybijał owrapowane w Secret kopie mostkowanych aktywów, ale nigdy nie weryfikował, z którego kanału faktycznie pochodzi depozyt, dopasowując jedynie nazwę tokena do zatwierdzonej listy.
Firma badawcza Common Prefix opublikowała raport po incydencie, pokazując, jak ta pojedyncza luka doprowadziła do katastrofy. Ponieważ sieć domyślnie ukrywa transfery, namierzenie atakującego okazało się znacznie trudniejsze, niż miałoby to miejsce w pełni przejrzystej, publicznej księdze.
Aby wykorzystać lukę, atakujący uruchomił łańcuch z jednym walidatorem, otworzył nieautoryzowany kanał i samodzielnie przekazywał sfałszowane pakiety zawierające nazwy tokenów skopiowane wprost z listy dozwolonych.
Kontrakt zaakceptował je i wybił prawdziwe, wymienialne tokeny bez jakiegokolwiek pokrycia.
Wykup tych fałszywek przez prawdziwy kanał opróżnił escrow dla siedmiu owrapowanych aktywów. Luka nie była nowa, a firma poinformowała, że ta sama logika znajdowała się w kodzie od 2023 r. i przetrwała migrację z marca 2026 r. Secret dodało, że przy budowie mostu nie zamówiono żadnego zewnętrznego audytu.
Mosty międzyłańcuchowe wciąż narażone
Skradzione środki przepłynęły przez Osmosis, zostały wymienione na Ether (ETH) na zdecentralizowanej giełdzie i rozproszone po dziesiątkach nowych portfeli, zanim ostatecznie trafiły na trzy scentralizowane giełdy. Szersza reakcja rynku pozostała stonowana: token Axelar stracił tego dnia około 2,2%, a Secret utrzymał się niemal bez zmian.
Mimo to strata wydłuża brutalny rok dla infrastruktury międzyłańcuchowej. Mosty o podobnej konstrukcji „lock-and-mint” pozostają najbardziej eksploatowaną powierzchnią w krypto, a podobne błędy kosztowały branżę ponad 340 mln dol. w 2026 r. Bilans obejmuje naruszenie na 25 mln dol. w Resolv, stratę 11 mln dol. w Verus i cios 4 mln dol. w IoTeX.
Czytaj dalej: Bot JaredFromSubway traci 7,5 mln dol. po złapaniu się na własną przynętę