Le 19 juin, le projet blockchain Axelar a révélé un piratage de son pont avec le protocole Secret Network. L'attaquant a retiré environ 4,67 millions de dollars en exploitant une vulnérabilité de "minting infini". Nous avons analysé l'incident du Secret Network. Un attaquant a exploité un bug de minting infini dans un contrat de token CW20-ICS20 modifié sur Secret pour siphonner ≈4,67M $. L'attaquant a minté des actifs Axelar enveloppés en Secret en lançant une nouvelle chaîne Cosmos avec 1 validateur et… Le vol est passé inaperçu pendant sept jours. Selon le développeur principal d'Axelar, Common Prefix, le bug a été trouvé dans le contrat intelligent ICS-20 du côté Secret de la connexion Cosmos IBC. L'algorithme a créé des versions "enveloppées" d'actifs (saToken) mais n'a pas vérifié de quel canal provenait la transaction entrante. Cela a permis à l'attaquant de falsifier des dépôts et d'émettre des tokens sans garantie. Comme les opérations ne nécessitaient pas d'autorisation, il a lancé une chaîne dans Cosmos avec un seul validateur, à partir de laquelle il a envoyé des paquets avec de fausses dénominations d'actifs. Le comité d'urgence d'Axelar a désactivé les connexions Secret et Secret-SNIP pour stopper d'autres transferts non autorisés. L'équipe coordonne avec les échanges et les forces de l'ordre pour tracer les fonds et aider à leur récupération. Selon la déclaration, l'incident est limité aux pièces saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB et sawstETH. Le protocole Axelar de base, d'autres connexions IBC et les actifs natifs de Secret Network ne sont pas affectés. Malgré le rapport de vol, le prix du jeton Secret (SCRT) a brièvement augmenté de près de 6 %, atteignant 0,06 $. Après une correction, l'actif se négocie autour de 0,058 $, maintenant un gain quotidien d'environ 3 %. Sa capitalisation boursière s'élève à environ 20 millions de dollars.
Source : ForkLog
