TheBlock
Die Axelar-Bridge von Secret Network wurde am 10. Juni um rund 4,67 Mio. $ geleert, nachdem ein Angreifer eine Schwachstelle in einem benutzerdefinierten CW20-ICS20-Vertrag ausnutzte. Dieser prägte Secret-verpackte Versionen Axelar-verpackter Vermögenswerte — sogenannte saTokens —, ohne zu prüfen, über welchen IBC-Kanal eine eingehende Übertragung einging. Laut einem Postmortem von Common Prefix, federführender Axelar-Steward, richtete der Angreifer eine Cosmos-Chain mit einem einzelnen Validator ein, eröffnete einen IBC-Kanal zum Vertrag und sendete sich selbst gefälschte Pakete mit Denominationen, die zur Allow-List des Vertrags passten — und prägte so echte saTokens ohne jede Deckung. Der Abfluss blieb sieben Tage unentdeckt und tauchte erst am 17. Juni auf, als eine normale Cross-Chain-Übertragung scheiterte, weil das Escrow-Konto nicht mehr genug Deckung enthielt.
Warum das wichtig ist
Die Schwachstelle war nicht neu — Common Prefix führte die fehlende Kanalprüfung bis zum Deployment des Vertrags Anfang 2023 zurück, und eine Migration am 5. März, die den Bytecode um neue Funktionen erweiterte, übernahm denselben Fehler. In einem eigenen Write-up erklärte Secret Network, dass der Bridge-Vertrag für die Axelar-Integration von einem Escrow-Modell auf ein Mint-Modell umgestellt wurde und dabei die beiden Funktionen entfielen, die die Quelle einer Übertragung validiert hätten. Entscheidend: Für die Integration wurde von Axelar kein externes Audit beauftragt, und die verschlüsselten On-Chain-Saldo machten das Defizit unsichtbar — anders als bei einem leeren Pool auf Ethereum. Der Exploit zog eine ausdrückliche Parallele zur kürzlichen Zcash-Offenlegung, in der eine Fälschungs-Schwachstelle den ZEC-Kurs um mehr als 30 % drückte.
Auswirkungen auf den Markt
Sieben saTokens wurden abgezogen — saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB und sawstETH — und der Angreifer leitete die Erlöse über Osmosis per Packet-Forwarding weiter, bevor er nach Ethereum bridge und dort auf CoW Protocol weitgehend in Ether tauschte. Das Guthaben verteilte er auf rund 30 frische Wallets, die bei KuCoin, ChangeNow und HitBTC landeten. Axelars Notfall-Komitee deaktivierte die Secret- und Secret-SNIP-Verbindungen, und der Cross-Chain-Router Squid strich das Netzwerk von seiner Liste; das Axelar-Team erklärte, das Kernprotokoll sei nicht betroffen.
Häufig gestellte Fragen
-
Wie konnte der Angreifer die Secret-Axelar-Bridge leeren?
Der Angreifer richtete eine Cosmos-Chain mit einem einzigen Validator ein, eröffnete einen IBC-Kanal zu einem benutzerdefinierten CW20-ICS20-Vertrag auf Secret und sendete sich selbst gefälschte Pakete, deren Denominationen zur Allow-List des Vertrags passten. Der Vertrag konnte diese nackten Denominationen nicht von…
-
Welche Tokens wurden abgezogen und wie hoch war der Verlust?
Dem Postmortem von Common Prefix zufolge wurden rund 4,67 Mio. $ aus sieben saTokens entwendet: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB und sawstETH.
-
Warum blieb der Exploit sieben Tage lang unentdeckt?
Secret-Network-Saldo sind standardmäßig verschlüsselt, sodass die fehlende Deckung nicht on-chain sichtbar war — anders als bei einem leeren Pool auf Ethereum. Das Defizit fiel erst am 17. Juni auf, als eine routinemäßige Cross-Chain-Übertragung mit einem Fehler abbrach, der zeigte, dass das Escrow-Konto nicht mehr…
-
War die Schwachstelle neu, und wurde der Code auditiert?
Common Prefix führte die fehlende Kanalprüfung auf das initiale Deployment des Vertrags Anfang 2023 zurück, und eine Migration am 5. März, die den Bytecode um neue Funktionen erweiterte, übernahm denselben Fehler. Laut Secret Networks eigenem Write-up wurde für die Integration von Axelar kein externes Audit beauftragt.
-
Was ist mit den gestohlenen Geldern und der Bridge passiert?
Der Angreifer leitete die Erlöse über Osmosis nach Ethereum, tauschte sie auf CoW Protocol in ETH und verteilte das Guthaben auf rund 30 frische Wallets, die bei KuCoin, ChangeNow und HitBTC landeten. Axelars Notfall-Komitee deaktivierte die Secret- und Secret-SNIP-Verbindungen, Squid strich das Netzwerk von seiner…
Lookonchain
WuBlockchain
CoinTelegraph
CoinDesk