Un attaquant a utilisé un bug « infinite mint » dans un contrat intelligent vulnérable sur le réseau secret pour créer des versions non sauvegardées et encapsulées d'actifs enveloppés par Axelar, ce qui a entraîné un exploit de 4,67 millions de dollars.
L'exploit s'est produit le 10 juin mais a été découvert une semaine plus tard, le 17 juin, après la détection d'un échec de transaction inter-chaînes causé par une erreur de « fonds insuffisants » dans le compte drainé, a rapporté vendredi la société de recherche blockchain Common Prefix.
L'attaquant a racheté les actifs enveloppés par Axelar (saTokens) sur des canaux légitimes pour drainer les actifs réels emballés par Axelar détenus dans le séquestre, car le contrat intelligent n'a pas vérifié la source du transfert entrant avant la frappe, de sorte que « les dépôts falsifiés sur un canal contrôlé par l'attaquant ont créé de véritables saTokens sans aucun actif les soutenant », a déclaré Common Prefix.
Il s’agit du dernier d’une série de piratages et d’exploits de protocoles cryptographiques ce mois-ci, qui sont désormais au nombre d’au moins 22, selon DeFiLlama. Le réseau secret était l'un des plus importants, derrière le Humanity Protocol et le Syscoin Bridge, qui ont perdu respectivement 32 et 8 millions de dollars au début du mois.
Le réseau secret est une blockchain de couche 1 axée sur la confidentialité, construite sur l'écosystème Cosmos, et Axelar est un réseau d'interopérabilité décentralisé qui connecte différents écosystèmes de blockchain.
Les actifs enveloppés dans Axelar et créés sans soutien dans l'exploit comprenaient saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB et sawstETH.
En rapport: Le contrat intelligent abandonné d'Aztec Connect exploité pour 2,1 millions de dollars
L’attaquant a déplacé les actifs exploités vers la blockchain Ethereum et les a convertis en Ether (ETH). Ils ont ensuite réparti le transport entre environ 30 portefeuilles, déposant finalement les fonds dans des bourses telles que KuCoin, ChangeNow et HitBTC, selon Common Prefix.
« Si vous détenez des jetons saXXX pontés sur Axelar sur Secret, sachez que leur soutien a été affecté et que vos fonds pourraient être perdus », a déclaré samedi le réseau Secret.
Les fonds volés sont répartis dans plusieurs portefeuilles à des fins d'obscurcissement. Source : Préfixe commun
Le jeton de Secret Network, Secret (SCRT), n'a pas été affecté par l'incident, mais il reste en baisse de 99 % par rapport à son sommet historique de 2021, se négociant actuellement à 0,058 $. Le jeton natif d'Axelar, Axelar (AXL), est dans un état similaire, s'échangeant à 0,045 $, en baisse de 98 % par rapport à son sommet de 2024.
Axelar a publié une confirmation samedi suite à « une certaine confusion » autour de l'incident.
« Ni Axelar ni IBC [Inter-Blockchain Communication] a été compromis. Le contrat intelligent de jeton exploité n'a pas été développé, déployé ou maintenu par Axelar. Le pare-feu d'Axelar a empêché l'impact de se propager à d'autres chaînes », a-t-il déclaré.
Revue: Bitcoin se dissocie des actions technologiques, Ether envisage une « vague de vente » : mouvements du marché
Voir l’article original en anglais
