Kẻ tấn công đã rút khoảng 4,67 triệu đô từ cầu nối Secret (SCRT) gắn với Axelar (AXL), bằng cách khai thác một hợp đồng lỗi cho phép đúc token không có tài sản bảo chứng từ con số không.
Các điểm chính:
- Một hợp đồng lỗi trên Secret Network cho phép kẻ tấn công đúc token không bảo chứng, rút khoảng 4,67 triệu đô.
- Vụ trộm bị che giấu suốt bảy ngày cho đến khi một giao dịch chuyển thất bại làm lộ tài khoản ký quỹ trống rỗng.
- Axelar đã vô hiệu hóa các kết nối bị ảnh hưởng và khẳng định giao thức lõi của họ không bị đụng tới.
Cầu nối Secret Network mất hàng triệu đô
Vụ trộm bắt đầu vào ngày 10/6 nhưng không bị phát hiện trong bảy ngày, vì Secret mã hóa số dư theo mặc định nên tài sản thế chấp bị thiếu không hiển thị trên chuỗi. Vụ việc chỉ lộ ra vào ngày 17/6, khi một giao dịch chuyển xuyên chuỗi thường lệ thất bại do tài khoản ký quỹ đã cạn sạch. Các nhà điều tra sau đó truy ngược khoản thiếu hụt về bảy lần rút khả nghi được thực hiện ngay trong ngày đầu tiên.
Axelar xác nhận khoản thất thoát vào ngày 19/6 và vô hiệu hóa các kết nối Secret và Secret-SNIP bị ảnh hưởng chỉ trong vài giờ, đồng thời nhấn mạnh rằng giao thức lõi của họ không bị động chạm. Đội ngũ cho biết họ đã liên hệ với các sàn giao dịch và cơ quan thực thi pháp luật để truy dấu dòng tiền, trong đó khoảng 672.000 đô vẫn còn nằm yên trong ví chính của kẻ tấn công.
Lỗi đúc vô hạn qua mặt hợp đồng
Hợp đồng dễ bị tấn công này đúc các bản Secret-wrapped của tài sản được cầu nối, nhưng lại không bao giờ xác minh kênh mà khoản nạp thực sự đi qua, mà chỉ so khớp tên token với danh sách được phê duyệt.
Công ty nghiên cứu Common Prefix đã công bố một báo cáo hậu kiểm cho thấy khoảng trống duy nhất đó đã làm mọi thứ sụp đổ như thế nào. Do mạng lưới ẩn các giao dịch theo mặc định, việc lần theo dấu vết kẻ tấn công khó hơn rất nhiều so với trên một sổ cái công khai hoàn toàn minh bạch.
Để khai thác, kẻ tấn công đã dựng một chuỗi với một trình xác thực, mở một kênh trái phép và tự chuyển tiếp các gói dữ liệu giả chứa tên token được sao chép y nguyên từ danh sách cho phép.
Hợp đồng chấp nhận chúng và đúc ra các token thật, có thể quy đổi được, hoàn toàn không có tài sản nào đứng sau.
Đổi các token giả đó qua kênh chính thống sau đó đã rút cạn tài sản ký quỹ của bảy loại tài sản được wrap. Đây không phải là lỗi mới, và công ty này báo cáo rằng cùng logic này đã nằm trong mã từ năm 2023 và vẫn tồn tại sau đợt di trú tháng 3/2026. Secret bổ sung rằng không có cuộc kiểm toán bên ngoài nào được yêu cầu khi cầu nối lần đầu được xây dựng.
Các cầu nối xuyên chuỗi vẫn đầy rủi ro
Số tiền bị đánh cắp được chuyển qua Osmosis, hoán đổi sang Ether (ETH) trên một sàn phi tập trung, rồi bị phân tán qua hàng chục ví mới trước khi cuối cùng chảy đến ba sàn giao dịch tập trung. Phản ứng thị trường rộng hơn khá trầm lắng, với token của Axelar giảm khoảng 2,2% trong ngày và Secret gần như đi ngang.
Dù vậy, khoản lỗ này vẫn kéo dài một năm tồi tệ cho hạ tầng xuyên chuỗi. Các cầu nối xây dựng trên mô hình khóa-và-đúc tương tự vẫn là bề mặt bị khai thác nhiều nhất trong crypto, với các lỗi tương đồng đã gây thiệt hại hơn 340 triệu đô trên toàn ngành trong năm 2026. Con số này bao gồm vụ vi phạm 25 triệu đô tại Resolv, khoản lỗ 11 triệu đô ở Verus và cú đánh 4 triệu đô vào IoTeX.
Đọc tiếp: Bot JaredFromSubway mất 7,5 triệu đô sau khi tự mắc bẫy của chính mình