Ponte Axelar da Secret Network suspensa após um exploit de cunhagem infinita de 4,67 milhões de dólares

A ligação da ponte Axelar à Secret Network foi suspensa a 19 de junho, após um exploit de 4,67 milhões de dólares que envolveu uma vulnerabilidade de “infinite-mint”. O atacante usou pacotes IBC forjados para cunhar activos envoltos sem cobertura através de um contrato modificado CW20-ICS20 que falhou ao verificar o canal de origem das mensagens de entrada. O ataque ocorreu a 10 de junho, mas passou despercebido até 17 de junho, quando a vulnerabilidade foi descoberta e levou à suspensão da ponte dois dias mais tarde. As pontes cross-chain continuam a ser um ponto crítico de vulnerabilidade na infraestrutura cripto, onde falhas na validação de mensagens entre ecossistemas podem permitir que os atacantes fabriquem activos numa cadeia e resgatem valor real a partir de outra.

O atacante explorou uma falha de validação do contrato para cunhar activos sem cobertura

O exploit centrou-se num contrato CW20-ICS20 modificado usado para activos envoltos na Secret Network. O contrato não conseguiu verificar correctamente o canal de origem das mensagens IBC recebidas. O atacante criou uma cadeia Cosmos privada e enviou pacotes IBC forjados para a ponte da Secret Network. Isto permitiu a cunhagem de activos envoltos sem cobertura, incluindo saUSDT e saUSDC. Numa configuração normal de ponte, os tokens envoltos correspondem a activos bloqueados ou em escrow noutra parte. O atacante contornou essa premissa de segurança ao injectar pacotes a partir de uma cadeia falsa. Depois de os activos sem cobertura serem cunhados, o atacante resgatou-os contra activos detidos em escrow, convertendo uma oferta fictícia em valor real.

A suspensão da ponte seguiu-se a um atraso de detecção de uma semana

O ataque ocorreu a 10 de junho. A vulnerabilidade foi descoberta a 17 de junho. A Axelar desactivou a ligação da ponte a 19 de junho para conter o problema. O exploit passou despercebido durante sete dias antes da detecção. A suspensão foi uma medida de contenção em vez de uma resposta imediata a uma violação em tempo real. A cronologia mostra o desafio de monitorizar fluxos de mensagens cross-chain com comportamento anómalo.

Destaques do exploit: vulnerabilidades contínuas de segurança nas pontes

Incidentes em pontes visam a camada de infraestrutura entre ecossistemas em vez de quebrarem directamente cadeias de camada-1. Vulnerabilidades podem explorar pressupostos entre cadeias, formatos de mensagens, contratos de tokens envoltos e saldos em escrow. Os activos envoltos transportam riscos adicionais de contratos inteligentes e de ponte para além do token subjacente. O incidente sublinha a necessidade de validação estrita de canais, monitorização externa e “circuit breakers” rápidos quando o comportamento de transferência se torna anormal. As integrações de ponte exigem uma revisão independente quando os contratos são modificados para ecossistemas específicos. Pequenas alterações na validação de mensagens podem criar grandes lacunas entre a oferta que os utilizadores vêem numa cadeia e os activos que suportam essa oferta noutro lugar.

FAQ

O que causou o exploit da ponte Axelar da Secret Network a 10 de junho?

O exploit foi causado por um contrato CW20-ICS20 modificado na Secret Network que falhou ao verificar correctamente o canal de origem das mensagens IBC recebidas. O atacante criou uma cadeia Cosmos privada e enviou pacotes IBC forjados para cunhar activos envoltos sem cobertura, incluindo saUSDT e saUSDC, e depois os resgatou contra activos reais detidos em escrow.

Porque foi suspensa a ponte Axelar da Secret Network a 19 de junho?

A Axelar suspendeu a ligação da ponte a 19 de junho como medida de contenção depois de descobrir o exploit de 4,67 milhões de dólares a 17 de junho. O ataque tinha ocorrido a 10 de junho, mas passou despercebido durante sete dias antes de a vulnerabilidade ser identificada e a ponte ser desactivada para evitar perdas adicionais.

Como é que o atacante contornou a segurança da ponte na Secret Network?

O atacante contornou a segurança ao explorar uma falha de validação no contrato CW20-ICS20. Ao criar uma cadeia Cosmos privada e enviar pacotes IBC forjados, o atacante cunhou activos envoltos sem cobertura sem tokens correspondentes bloqueados ou em escrow do outro lado da ponte e, em seguida, resgatou esses activos falsos por valor real.