Utnyttjande av sårbarhet i Secret Network
Den 10 juni 2023 inträffade ett utnyttjande av en sårbarhet i Secret Networks smarta kontrakt, vilket ledde till att hackare stjäl 4,67 miljoner dollar. Utnyttjandet förblev oupptäckt fram till den 17 juni, då en misslyckad cross-chain-transaktion avslöjade problemet. Secret Network varnade för att de påverkade Axelar-broade saTokens kanske inte längre var fullt backade, medan Axelar bekräftade att varken deras nätverk eller IBC-protokollet hade komprometterats.
Detaljer om utnyttjandet
En angripare lyckades utnyttja en brist i ett anpassat tokenkontrakt som misslyckades med att verifiera källan till inkommande överföringar. Detta gjorde det möjligt för hackaren att skapa legitimt utseende Secret Network-tillgångar, kända som saTokens, utan att tillhandahålla något verkligt säkerhet. Genom att använda en angriparkontrollerad kommunikationskanal kunde utnyttjaren förfalska insättningar och prägla genuina saTokens som såg fullt backade ut, trots att de saknade underliggande tillgångar.
Angriparen löste sedan in dessa bedrägliga tokens genom legitima Axelar-kanaler, vilket ledde till att de verkliga tillgångarna som hölls i förvar tömdes. Bland de påverkade tillgångarna fanns saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB och sawstETH. Efter att ha erhållit medlen broades de till Ethereum, konverterades till Ether (ETH) och distribuerades till cirka 30 olika plånböcker för att dölja rörelsen av medel. Vissa av de stulna tillgångarna deponerades senare på kryptovalutabörser, inklusive KuCoin, ChangeNow och HitBTC.
Konsekvenser och varningar
Detta utnyttjande är en av de största kryptosäkerhetsincidenterna som registrerats denna månad. Enligt data från DeFiLlama har mer än 20 protokollhack och utnyttjanden redan inträffat. Endast Humanity Protocol-utnyttjandet, som resulterade i förluster på cirka 32 miljoner dollar, och Syscoin Bridge-attacken, som orsakade förluster på cirka 8 miljoner dollar, var större.
Efter upptäckten varnade Secret Network användare som höll Axelar-broade saTokens att tillgångarna kanske inte längre var fullt backade och att medel potentiellt kan gå förlorade.
Projektet klargjorde också att dess inhemska SCRT-token inte påverkades av utnyttjandet. Axelar utfärdade senare ett uttalande där de förklarade att varken Axelar-nätverket eller Inter-Blockchain Communication (IBC) protokollet hade komprometterats. Enligt teamet fanns sårbarheten i ett tredjeparts tokenkontrakt som inte utvecklades, distribuerades eller underhölls av Axelar.
