Em 19 de junho, o projeto de blockchain Axelar divulgou um hack de sua ponte com o protocolo Secret Network. O atacante retirou cerca de $4,67 milhões explorando uma vulnerabilidade de "mint infinito". Analisamos o incidente da Secret Network. Um atacante explorou um bug de mint infinito em um contrato de token CW20-ICS20 modificado na Secret para drenar ≈$4,67M. O atacante criou ativos Axelar embrulhados em Secret ao iniciar uma nova cadeia Cosmos com 1 validador e… O roubo passou despercebido por sete dias. De acordo com o desenvolvedor principal da Axelar, Common Prefix, o bug foi encontrado no contrato inteligente ICS-20 do lado da Secret na conexão Cosmos IBC. O algoritmo criou versões "embrulhadas" de ativos (saToken), mas não verificou de qual canal a transação de entrada veio. Isso permitiu que o atacante falsificasse depósitos e emitisse tokens sem lastro. Como as operações não exigiam permissão, ele lançou uma cadeia no Cosmos com um único validador, a partir do qual enviou pacotes com denominações de ativos falsos. O comitê de emergência da Axelar desativou as conexões Secret e Secret-SNIP para interromper transferências não autorizadas adicionais. A equipe está coordenando com as exchanges e a aplicação da lei para rastrear os fundos e ajudar na sua recuperação. De acordo com a declaração, o incidente é limitado às moedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB e sawstETH. O protocolo central Axelar, outras conexões IBC e os ativos nativos da Secret Network não são afetados. Apesar do relatório do roubo, o preço do token Secret (SCRT) subiu brevemente quase 6%, alcançando $0,06. Após uma correção, o ativo está sendo negociado em torno de $0,058, mantendo um ganho diário de cerca de 3%. Sua capitalização de mercado está em aproximadamente $20 milhões.
Fonte: ForkLog
