TheBlock
A ponte Axelar da Secret Network foi esvaziada em cerca de $4,67 milhões no dia 10 de junho, depois de um atacante ter explorado uma falha num contrato CW20-ICS20 personalizado que cria versões Secret-wrapped de ativos Axelar-wrapped — conhecidos como saTokens — sem verificar por que canal IBC entrou uma transferência recebida. Segundo uma análise post-mortem da Common Prefix, principal steward da Axelar, o atacante criou uma cadeia Cosmos de validador único, abriu um canal IBC para o contrato e auto-retransmitiu pacotes forjados cujas denominações correspondiam à allow-list do contrato, cunhando saTokens reais sem qualquer garantia. O esvaziamento passou despercebido durante sete dias, só vindo à tona a 17 de junho, quando uma transferência cross-chain normal falhou porque a conta de escrow já não tinha fundos suficientes para a cobrir.
Por que isto importa
A vulnerabilidade não era nova — a Common Prefix identificou a falta de verificação do canal na implementação inicial do contrato, no início de 2023, e uma migração a 5 de março que atualizou o bytecode para novas funcionalidades manteve a mesma falha. A própria análise da Secret Network indicou que o contrato da ponte foi reformulado de um modelo de escrow para um modelo de mint para a integração com a Axelar, e as duas funções que teriam validado a origem de uma transferência foram removidas nessa reformulação. Um ponto crucial: nenhuma auditoria externa foi solicitada pela Axelar como parte da integração, e os saldos encriptados on-chain tornaram o défice invisível, ao contrário do que aconteceria com uma pool drenada na Ethereum. O exploit traçou um paralelo explícito com a recente divulgação do Zcash, na qual uma vulnerabilidade de falsificação fez o ZEC cair mais de 30%.
Impacto no mercado
Sete saTokens foram drenados — saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB e sawstETH — e o atacante encaminhou os fundos através da Osmosis via packet-forwarding antes de fazer bridge para a Ethereum e trocar a maior parte por ether no CoW Protocol, distribuindo-os por cerca de 30 carteiras recém-criadas que acabaram na KuCoin, ChangeNow e HitBTC. O comité de emergência da Axelar desativou as ligações Secret e Secret-SNIP, e o router cross-chain Squid removeu a rede da sua lista; a equipa da Axelar afirmou que o seu protocolo central não foi afetado.
Perguntas frequentes
-
Como é que o atacante esvaziou a ponte Secret-Axelar?
O atacante criou uma cadeia Cosmos de validador único, abriu um canal IBC para um contrato CW20-ICS20 personalizado na Secret e auto-retransmitiu pacotes forjados cujas denominações correspondiam à allow-list do contrato. O contrato não conseguia distinguir essas denominações simples do canal real da Axelar, pelo que…
-
Que tokens foram drenados e quanto foi levado?
Foram levados cerca de $4,67 milhões distribuídos por sete saTokens: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB e sawstETH, segundo a análise post-mortem da Common Prefix.
-
Por que é que o exploit passou despercebido durante sete dias?
Os saldos da Secret Network são encriptados por defeito, pelo que a garantia em falta não era visível on-chain, ao contrário do que aconteceria com uma pool drenada na Ethereum. O défice só surgiu a 17 de junho, quando uma transferência cross-chain de rotina falhou com um erro a mostrar que a conta de escrow já não…
-
A vulnerabilidade era nova e o código foi auditado?
A Common Prefix identificou a falta de verificação do canal na implementação inicial do contrato, no início de 2023, e uma migração a 5 de março que atualizou o bytecode para novas funcionalidades manteve a mesma falha. A própria análise da Secret Network indicou que nenhuma auditoria externa foi solicitada pela…
-
O que aconteceu aos fundos roubados e à ponte?
O atacante encaminhou os fundos pela Osmosis até à Ethereum, trocou-os por ETH no CoW Protocol e distribuiu o saldo por cerca de 30 carteiras recém-criadas que acabaram na KuCoin, ChangeNow e HitBTC. O comité de emergência da Axelar desativou as ligações Secret e Secret-SNIP, a Squid removeu a rede da sua lista, e a…
Lookonchain
WuBlockchain
CoinTelegraph
CoinDesk