Atakujący wyprowadził około 4,67 mln USD z mostu Secret (SCRT) powiązanego z Axelar (AXL), wykorzystując wadliwy kontrakt, który wybijał niepokryte tokeny z niczego.
Kluczowe punkty:
- Wadliwy kontrakt w Secret Network pozwolił atakującemu wybijać niepokryte tokeny i wyprowadzić około 4,67 mln USD.
- Kradzież pozostawała ukryta przez siedem dni, aż nieudany transfer ujawnił pusty escrow.
- Axelar wyłączył dotknięte połączenia i podkreślił, że jego główny protokół nie został naruszony.
Most Secret Network traci miliony
Kradzież rozpoczęła się 10 czerwca, ale przez siedem dni pozostawała niezauważona, ponieważ Secret domyślnie szyfruje salda i brakujące zabezpieczenie nie pojawiało się on-chain. Problem wyszedł na jaw dopiero 17 czerwca, gdy rutynowy transfer międzyłańcuchowy nie powiódł się, ponieważ konto escrow zostało wyczyszczone. Śledczy powiązali następnie niedobór z siedmioma podejrzanymi wypłatami dokonanymi pierwszego dnia.
Axelar potwierdził stratę 19 czerwca i w ciągu kilku godzin wyłączył dotknięte połączenia Secret i Secret-SNIP, podkreślając, że jego główny protokół nie został naruszony. Zespół poinformował, że skontaktował się z giełdami i organami ścigania, aby prześledzić środki; około 672 000 USD wciąż pozostaje nietknięte w głównym portfelu atakującego.
Zobacz też: Rekordowy odpływ z Bitcoin ETF sięga 6,35 mld USD, ale panika może słabnąć
Luka „nieskończonego mintu” oszukała kontrakt
Podatny kontrakt wybijał owinięte na Secret kopie mostkowanych aktywów, ale nigdy nie weryfikował, z którego kanału faktycznie pochodził depozyt, dopasowując jedynie nazwę tokena do zatwierdzonej listy.
Firma badawcza Common Prefix opublikowała post‑mortem pokazujące, jak ta pojedyncza luka wszystko rozplątała. Ponieważ sieć domyślnie ukrywa transfery, śledzenie atakującego okazało się znacznie trudniejsze niż w pełni przejrzystym publicznym łańcuchu.
Aby wykorzystać lukę, atakujący uruchomił łańcuch z jednym walidatorem, otworzył nieautoryzowany kanał i samodzielnie przesyłał sfałszowane pakiety niosące nazwy tokenów skopiowane wprost z listy dozwolonych.
Kontrakt je akceptował i wybijał prawdziwe, wykupowalne tokeny bez jakiegokolwiek pokrycia.
Wykup tych fałszywek przez prawdziwy kanał opróżnił następnie escrow dla siedmiu owiniętych aktywów. Luka nie była nowa, a firma podała, że ten sam sposób działania siedział w kodzie od 2023 roku i przetrwał migrację z marca 2026. Secret dodał, że przy budowie mostu nie zamówiono zewnętrznego audytu.
Mosty międzyłańcuchowe wciąż zagrożone
Skonfiskowane środki przeszły przez Osmosis, zostały zamienione na Ether (ETH) na zdecentralizowanej giełdzie i rozproszone po dziesiątkach świeżych portfeli, zanim ostatecznie trafiły na trzy scentralizowane giełdy. Szersza reakcja rynku pozostała stonowana: token Axelar spadł tego dnia o około 2,2%, a Secret utrzymał się niemal bez zmian.
Mimo to strata pogłębia brutalny rok dla infrastruktury międzyłańcuchowej. Mosty o podobnej konstrukcji „zablokuj‑i‑mintuj” pozostają najbardziej eksploatowaną powierzchnią w krypto, a porównywalne luki kosztowały branżę ponad 340 mln USD w 2026 r. Bilans obejmuje włamanie do Resolv na 25 mln USD, stratę 11 mln USD w Verus i cios 4 mln USD dla IoTeX.
Przeczytaj następnie: Bot JaredFromSubway traci 7,5 mln USD po złapaniu się na własną przynętę