Hacker haben am 10. Juni 4,67 Millionen US-Dollar aus der Axelar-Bridge von Secret Network abgezogen – mithilfe eines gefälschten IBC-Kanals

Ein Angreifer hat eine fehlende Kanalvalidierungs-Panne in Secret Networks modifiziertem CW20-ICS20-Bridge-Contract ausgenutzt, um am 10. Juni rund 4,67 Millionen US-Dollar abzusaugen. Der Angriff blieb bis zum 17. Juni unentdeckt, als ein Cross-Chain-Transfer fehlschlug, weil die Escrow-Assets aufgebraucht waren. Der Angreifer nutzte eine Single-Validator-Cosmos-Kette, um Einzahlungen zu fälschen und Secret-gewrappten Tokens zu prägen, ohne dass reale Vermögenswerte sie tatsächlich deckten. Das betraf sieben Tokens, darunter saUSDT, saUSDC und saDAI.

Die Schwachstelle bestand seit der anfänglichen Bereitstellung des Contracts Anfang 2023 und wurde in einer Migration vom 5. März nicht behoben. Secret Network führte die verzögerte Erkennung auf verschlüsselte Salden im Netzwerk zurück, die eine sichtbare Überwachung fehlender Sicherheiten verhinderten. Die gestohlenen Gelder wurden nach Axelar verschoben, über Osmosis zu Ethereum geroutet und über CoW Protocol gegen Ether getauscht, bevor sie in Einzahlungen bei KuCoin, ChangeNow und HitBTC aufgeteilt wurden. Ungefähr 672.000 US-Dollar verblieben im Axelar-Wallet des Angreifers. Das Notfallkomitee von Axelar deaktivierte die betroffenen Verbindungen und erklärte, dass sein Kernprotokoll nicht kompromittiert worden sei.