Що сталося
Атакувальник вивів близько $4,67 млн з мосту Secret Network, що працює через Axelar, скориставшись багом типу infinite mint — «нескінченним карбуванням» нічим не забезпечених токенів. Сама атака сталася 10 червня 2026 року, але лишалася непоміченою цілий тиждень: її виявили лише 17 червня, коли невдала крос-чейн-транзакція видала помилку «недостатньо коштів» на спустошеному рахунку.
Деталі
- Механіка багу: контракт Secret Network не перевіряв джерело вхідного переказу перед карбуванням — це дозволило підробити депозити й випустити справжні saTokens без жодного забезпечення.
- Як саме: атакувальник підняв фейкову Cosmos-мережу з єдиним валідатором, відкрив новий IBC-канал до Secret і сам ретранслював підроблені IBC-пакети з «голими» позначеннями токенів, що збігалися з дозволеним списком.
- Що злили: сім обгорнутих токенів — saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB та sawstETH.
- Куди пішли гроші: у мережу Ethereum, де їх сконвертували в ETH, розкидали приблизно по 30 гаманцях і завели на біржі KuCoin, ChangeNow та HitBTC.
- Реакція: екстрений комітет Axelar відключив з’єднання Secret і Secret-SNIP. В Axelar наголосили, що сам протокол скомпрометований не був, а вразливий контракт розробляла не їхня команда.
Що це означає
Кого стосується: власників обгорнутих через Axelar saXXX-токенів на Secret Network — команда прямо попередила, що їхнє забезпечення постраждало й кошти можуть бути втрачені. Ризик із цифрою: в обігу опинилося $4,67 млн нічим не забезпечених токенів, а маршрути мосту вже відключені — швидко «вийти» через той самий міст не вдасться. Горизонт: збиток уже зафіксовано, шанси на повернення низькі — гроші сконвертовані в ETH і розведені по біржах. Головний урок: діра була не в самому Axelar, а в кастомному контракті поверх нього — перевіряти потрібно весь ланцюжок, а не лише «бренд» базового протоколу. І знову, як і у випадку з Taiko, найслабшою ланкою виявився міст.
Контекст
Це частина низки мостових експлойтів 2026 року, коли атакувальник обходить верифікацію і карбує/виводить активи без забезпечення. Схожий розбір «легасі-контракт і підробка стану» — у нашому матеріалі про експлойт Aztec Connect.
