Le pont Axelar de Secret Network suspendu après une exploitation d’« infinite mint » d’une valeur de 4,67 millions de dollars

La connexion du pont Axelar à Secret Network a été suspendue le 19 juin après un exploit de 4,67 millions de dollars impliquant une vulnérabilité d’« infinite-mint ». L’attaquant a utilisé des paquets IBC falsifiés pour frapper des actifs enveloppés non garantis via un contrat modifié CW20-ICS20 qui n’a pas réussi à vérifier la chaîne source des messages entrants. L’attaque a eu lieu le 10 juin, mais est restée non détectée jusqu’au 17 juin, lorsque la vulnérabilité a été découverte et a conduit à la suspension du pont deux jours plus tard. Les ponts cross-chain demeurent un point de vulnérabilité critique de l’infrastructure crypto : des défaillances de validation des messages entre écosystèmes peuvent permettre aux attaquants de fabriquer des actifs sur une chaîne et d’en obtenir la valeur réelle depuis une autre.

Attaquant Exploite un Manque de Validation du Contrat pour Frappper des Actifs Non Garantis

L’exploit s’est concentré sur un contrat CW20-ICS20 modifié utilisé pour les actifs enveloppés sur Secret Network. Le contrat n’a pas correctement vérifié la chaîne source des messages IBC entrants. L’attaquant a créé une chaîne Cosmos privée et a envoyé des paquets IBC falsifiés au pont de Secret Network. Cela a permis le mint d’actifs enveloppés non garantis, notamment saUSDT et saUSDC. Dans une configuration normale de pont, les jetons enveloppés correspondent à des actifs verrouillés ou placés en séquestre ailleurs. L’attaquant a contourné cette hypothèse de sécurité en injectant des paquets provenant d’une chaîne fictive. Une fois les actifs non garantis frappés, l’attaquant les a rachetés contre des actifs détenus en séquestre, convertissant une fausse offre en valeur réelle.

Suspension du Pont Suivie d’un Délai de Détection d’une Semaine

L’attaque a eu lieu le 10 juin. La vulnérabilité a été découverte le 17 juin. Axelar a désactivé la connexion du pont le 19 juin pour contenir le problème. L’exploit est passé inaperçu pendant sept jours avant d’être détecté. La suspension était une mesure de confinement plutôt qu’une réponse immédiate à une brèche en temps réel. La chronologie montre la difficulté de surveiller les flux de messages cross-chain en cas de comportement anormal.

Faits Marquants : Vulnérabilités Continues de Sécurité des Ponts

Les incidents de pont ciblent la couche d’infrastructure entre les écosystèmes plutôt que de casser directement les chaînes layer-1. Les vulnérabilités peuvent exploiter des hypothèses entre chaînes, les formats de messages, les contrats de jetons enveloppés et les soldes en séquestre. Les actifs enveloppés comportent des risques supplémentaires de contrat intelligent et de pont au-delà du jeton sous-jacent. L’incident souligne la nécessité d’une validation stricte des canaux, d’une surveillance externe et de coupe-circuits rapides lorsque le comportement des transferts devient anormal. Les intégrations de ponts nécessitent une revue indépendante lorsque des contrats sont modifiés pour des écosystèmes spécifiques. De petits changements dans la validation des messages peuvent créer de grands écarts entre l’offre que les utilisateurs voient sur une chaîne et les actifs qui garantissent cette offre ailleurs.

FAQ

Qu’est-ce qui a causé l’exploit du pont Axelar de Secret Network le 10 juin ?

L’exploit a été causé par un contrat CW20-ICS20 modifié sur Secret Network qui n’a pas réussi à vérifier correctement la chaîne source des messages IBC entrants. L’attaquant a créé une chaîne Cosmos privée et a envoyé des paquets IBC falsifiés pour frapper des actifs enveloppés non garantis, notamment saUSDT et saUSDC, puis les a rachetés contre des actifs réels détenus en séquestre.

Pourquoi la connexion du pont Axelar de Secret Network a-t-elle été suspendue le 19 juin ?

Axelar a suspendu la connexion du pont le 19 juin comme mesure de confinement après avoir découvert l’exploit de 4,67 millions de dollars le 17 juin. L’attaque avait eu lieu le 10 juin, mais est restée non détectée pendant sept jours avant que la vulnérabilité soit identifiée et que le pont soit désactivé pour empêcher des pertes supplémentaires.

Comment l’attaquant a-t-il contourné la sécurité du pont sur Secret Network ?

L’attaquant a contourné la sécurité en exploitant un manque de validation dans le contrat CW20-ICS20. En créant une chaîne Cosmos privée et en envoyant des paquets IBC falsifiés, l’attaquant a frappé des actifs enveloppés non garantis sans jetons verrouillés ou placés en séquestre correspondants de l’autre côté du pont, puis a racheté ces actifs fictifs contre une valeur réelle.