Уязвимость в мосте Secret привела к убыткам в размере $4,7 млн

В экосистеме Secret произошел взлом, который затронул обернутые активы, связанные с межсетевыми переводами. Атакующий смог выпустить токены без реального обеспечения и обменять их на настоящие резервы, что привело к общему ущербу в размере почти $4,7 млн. Инцидент произошел 10 июня, однако его обнаружили позже, когда одна из межсетевых операций не была выполнена из-за недостатка средств на соответствующем адресе.

Уязвимость заключалась в неправильной проверке входящих переводов. Контракт не убедился, что депозит поступил из доверенного источника, что дало возможность злоумышленнику начать выпуск обернутых токенов под контролируемые им данные. Затем атакующий использовал стандартный механизм погашения, возвращая выпущенные токены и получая взамен реальные активы из резервов.

Такой тип ошибки представляет серьезную угрозу для мостов, так как внешне все выглядит как обычная работа протокола, но при этом нарушается важнейшее условие: каждый выпущенный токен должен быть полностью обеспечен активом в другой сети. В результате атаки оказались под угрозой обернутые версии крупных активов, включая стейблкоины, ETH, BTC, BNB и stETH. Для пользователей это крайне болезненный сценарий, поскольку такие активы часто воспринимаются как полноценные аналоги оригинальных монет в другой сети.

Secret предупредил держателей затронутых токенов о возможном ущербе их обеспечению, что означает, что часть средств может быть потеряна. После атаки активы были переведены в Ethereum и конвертированы в ETH, а затем распределены между множеством кошельков, чтобы усложнить процесс отслеживания. Аналитики отмечают, что часть средств позднее была отправлена на централизованные площадки и обменные сервисы, что является распространенной практикой после взломов.

Команда Axelar подтвердила, что ее инфраструктура не пострадала от инцидента. Они уточнили, что проблема возникла в стороннем контракте, который не разрабатывался и не обслуживался Axelar. Это важная информация для рынка, поскольку атаки на обернутые активы могут создавать путаницу между мостом, сетью и конкретным контрактом. Однако для пользователей техническое разделение мало что меняет, так как если токен в их кошельке потерял обеспечение, риск уже реализовался.

Тревожным моментом стало не только количество ущерба, но и задержка в его обнаружении. Взлом не был остановлен незамедлительно; о нем стало известно только после сбоя, когда резерв уже не мог выполнить очередную операцию. Это подчеркивает проблемы мониторинга мостов. Недостаточно просто отслеживать отдельные транзакции; необходимо постоянно сверять количество выпущенных и погашенных токенов с реальными активами в резерве. Если сверка запаздывает, пользователи могут узнать о проблеме уже после того, как активы ушли.

Июнь стал тяжелым месяцем для мостов, с по меньшей мере 22 взломами и эксплойтами по данным DeFiLlama. Среди значительных инцидентов были атаки на Humanity Protocol и Syscoin Bridge, ущерб от которых оценивался в десятки миллионов и несколько миллионов долларов соответственно. На фоне этих событий взлом Secret стал еще одним напоминанием о высоких рисках, связанных с межсетевыми решениями, которые соединяют разные блокчейны и зависят от корректной проверки сообщений между ними.

Токены проектов, таких как SCRT и AXL, остаются значительно ниже своих исторических максимумов. Токен SCRT, по заявлению проекта, не был непосредственно затронут атакой, но его рыночная динамика остается слабой, торгуясь около $0,058 и находясь примерно на 99% ниже пика 2021 года. AXL также значительно ниже исторического максимума, торгуясь около $0,045, что примерно на 98% ниже пика 2024 года. Для инфраструктурных проектов такие инциденты особенно болезненны, поскольку новые проблемы безопасности усугубляют недоверие к экосистеме.

В ответ на инцидент Secret необходимо предоставить полную информацию по затронутым активам, включая данные о том, какие токены потеряли обеспечение и сколько средств можно восстановить. Для всей индустрии это служит важным уроком: мосты должны проверять не только факт поступления сообщений, но и их источник. Любая ошибка в этой логике может привести к тому, что пустой депозит превратится в настоящий вывод резервов. Взлом Secret стал наглядным примером нарушения базового принципа обеспечения, когда контракт выпускал обернутые активы без реального депозита, а злоумышленник обменивал их на настоящие средства. Пока мосты не научатся быстрее выявлять такие расхождения, они останутся основными целями для хакеров.