Bridge di Secret Network sfruttato per sottrarre $4,7 milioni con bug di “conio infinito”

Un hacker ha sfruttato un bug di “emissione infinita” presente in uno smart contract vulnerabile sulla rete Secret Network per creare versioni “wrapped” prive di copertura degli asset Axelar, causando un danno pari a 4,67 milioni di dollari.

L’exploit è avvenuto il 10 giugno, ma è stato scoperto una settimana dopo, mercoledì, in seguito al rilevamento di una transazione cross-chain fallita causata da un errore di “fondi insufficienti” nel conto prosciugato, come ha riferito venerdì la società di ricerca blockchain Common Prefix.

L’autore dell’attacco ha riscattato gli asset avvolti da Axelar (saTokens) tramite canali legittimi per prosciugare i veri asset avvolti da Axelar detenuti in deposito a garanzia, poiché lo smart contract non verificava la provenienza del trasferimento in entrata prima della coniazione; pertanto, «i depositi falsificati tramite un canale controllato dall’autore dell’attacco hanno generato saTokens autentici senza alcun asset a garanzia», ha spiegato Common Prefix.

Si tratta dell’ultimo di una serie di attacchi e exploit ai protocolli crypto avvenuti questo mese, che ora ammontano ad almeno 22, secondo DeFiLlama. Quello a The Secret Network è stato uno dei più ingenti, dopo quelli a Humanity Protocol e Syscoin Bridge, che all’inizio di questo mese hanno perso rispettivamente 32 milioni e 8 milioni di dollari.

Secret Network è una blockchain di livello 1 incentrata sulla privacy, costruita sull’ecosistema Cosmos, mentre Axelar è una rete decentralizzata di interoperabilità che collega diversi ecosistemi blockchain.

Le risorse “wrapped” da Axelar coniate senza copertura nell’ambito dell’exploit includevano saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB e sawstETH.

L’autore dell’attacco ha trasferito gli asset sfruttati sulla blockchain di Ethereum e li ha convertiti in Ether (ETH). Ha poi suddiviso il bottino tra circa 30 portafogli, depositando infine i fondi su exchange quali KuCoin, ChangeNow e HitBTC, secondo quanto riportato da Common Prefix.

“Se detenete token saXXX collegati tramite Axelar su Secret, tenete presente che la loro copertura è stata compromessa e che i vostri fondi potrebbero andare persi”, ha dichiarato sabato Secret Network.

Il token di Secret Network, Secret (SCRT), non ha subito ripercussioni dall’incidente, ma rimane in calo del 99% rispetto al massimo storico raggiunto nel 2021, ed è attualmente scambiato a 0,058 dollari. Il token nativo di Axelar, Axelar (AXL), si trova in una situazione simile, con un prezzo di 0,045 dollari, in calo del 98% rispetto al picco del 2024.

Sabato Axelar ha pubblicato una conferma a seguito di “una certa confusione” riguardo all’incidente.

“Né Axelar né IBC [Inter-Blockchain Communication] sono stati compromessi. Lo smart contract del token oggetto dello sfruttamento non è stato sviluppato, implementato o gestito da Axelar. Il firewall di Axelar ha impedito che l’impatto si estendesse ad altre catene”, ha affermato.