بر اساس گزارش کالبدشکافی (Postmortem) منتشر شده توسط شرکت تحقیقاتی Common Prefix در روز جمعه، یک مهاجم با سوءاستفاده از نقص موجود در یک قرارداد توکن سفارشی، موفق شد حدود ۴.۶۷ میلیون دلار از پل ارتباطی اکسلار (Axelar) در شبکه سکرت (Secret Network) سرقت کند. نکته قابل توجه این است که این سرقت به مدت هفت روز کاملاً از دید عموم و توسعهدهندگان پنهان مانده بود.
این اکسپلویت، یک قرارداد اصلاحشده CW20-ICS20 در شبکه سکرت را هدف قرار داد؛ قراردادی که وظیفه مدیریت داراییهای منتقلشده از طریق اکسلار را بر عهده داشت.
نحوه اجرای حمله توسط هکر
قرارداد مذکور، نسخههای رپشده (Wrapped) داراییهای اکسلار در شبکه سکرت را که با نام saTokens شناخته میشوند، بدون بررسی و اعتبارسنجی کانال ورودی ضرب (Mint) میکرد. این خلاء امنیتی به مهاجم اجازه داد تا سپردههای جعلی ایجاد کرده و توکنهای واقعی saToken را بدون هیچ پشتوانهای تولید کند.
از آنجا که باز کردن یک کانال IBC نیازی به مجوز ندارد، هکر با یک حرکت هوشمندانه اقدامات زیر را انجام داد:
-
راهاندازی یک زنجیره کازموس (Cosmos) با یک ولیدیتور (اعتبارسنج) واحد
-
باز کردن یک کانال به سمت قرارداد پل ارتباطی
-
ارسال بستههای جعلی حاوی نام توکنهایی که با لیست مجاز (Allow-list) قرارداد مطابقت داشتند
قرارداد هوشمند قادر به تشخیص تفاوت بین این نامهای جعلی و توکنهای ورودی از کانال واقعی اکسلار نبود؛ در نتیجه، در ازای آنها توکنهای saToken ضرب کرد. هکر سپس با بازخرید این موجودیهای ضربشده از طریق کانال قانونی اکسلار، داراییهای واقعی قفلشده در حساب امانی (Escrow) را آزاد و سرقت کرد.
بر اساس این گزارش، داراییهای سرقتشده شامل هفت توکن زیر بوده است: saUSDT، saUSDC، saDAI، saWETH، saWBTC، saWBNB و sawstETH.
چرا کشف این هک ۷ روز طول کشید؟
موجودیها در شبکه سکرت به طور پیشفرض رمزنگاری شده هستند؛ بنابراین، برخلاف شبکههایی مانند اتریوم که تخلیه یک استخر به سرعت در آنها قابل مشاهده است، کمبود وثیقه در این شبکه به صورت آنچین (On-chain) قابل رویت نبود.
این کسری تنها در تاریخ ۱۷ ژوئن (هفت روز پس از حمله در ۱۰ ژوئن) و زمانی آشکار شد که یک انتقال میانزنجیرهای عادی روی اکسلار با خطا مواجه شد و نشان داد که حساب امانی دیگر موجودی کافی برای پوشش آن انتقال را ندارد. این وضعیت تا حدودی یادآور آسیبپذیری کشفشده اخیر در شبکه Zcash (یک شبکه رمزنگاریشده دیگر) است که میتوانست به هکرها اجازه ایجاد تعداد نامحدودی توکن تقلبی را بدهد و منجر به افت ۳۰ درصدی قیمت توکن ZEC شد.
تقابل شبکه سکرت و اکسلار ؛ مقصر کیست؟
این نقص امنیتی جدید نبود. بررسیها نشان میدهد که این آسیبپذیری از زمان استقرار اولیه قرارداد در اوایل سال ۲۰۲۳ وجود داشته و حتی در بهروزرسانی ماه مارس نیز برطرف نشده بود. حمله ۱۰ ژوئن دقیقاً روی همین کدهای انتقالیافته صورت گرفت.
شبکه سکرت در گزارش خود مدعی شد که اکسلار برای این ادغام، هیچگونه ممیزی خارجی (Audit) درخواست نکرده بود. این تیم همچنین استدلال کرد که زیرساخت پل اکسلار فاقد مکانیسمهای نظارتی، تشخیص ناهنجاری یا توقف اضطراری برای شناسایی انتقالهای مشکوک بوده است.
در مقابل، تیم اکسلار هرگونه پذیرش مسئولیت را رد کرد و در بیانیهای نوشت: «نه پروتکل اکسلار و نه IBC هیچکدام به خطر نیفتادهاند. قرارداد هوشمند اکسپلویتشده توسط تیم اکسلار توسعه، استقرار یا نگهداری نشده است.»
مسیر پولهای سرقتی و واکنش بازار
پس از کشف این رخنه، کمیته اضطراری اکسلار اتصالات مرتبط با شبکه سکرت را غیرفعال کرد و روتر میانزنجیرهای Squid نیز سکرت را از رابط کاربری خود حذف نمود.
ردیابیها نشان میدهد که داراییهای سرقتشده پس از برداشت به سمت اکسلار، از طریق شبکه اسموسیس (Osmosis) مسیریابی شده و سپس به اتریوم منتقل شدهاند. بخش عمده این داراییها در پروتکل CoW به اتریوم (ETH) تبدیل شده و پس از تقسیم به حدود ۳۰ تراکنش به کیف پولهای جدید، در نهایت به آدرسهای صرافیهای KuCoin، ChangeNow و HitBTC واریز شدهاند.
شبکه سکرت اعلام کرد که حدود ۷۷۰,۰۰۰ دلار از وجوه سرقتی همچنان در کیف پول مهاجم در اکسلار باقی مانده است. با وجود درخواست سکرت برای مسدود کردن این داراییها، اکسلار اعلام کرد که با صرافیها و مجریان قانون در حال هماهنگی است و قصد ندارد مستقیماً این وجوه را مسدود کند. دادههای مرورگر اکسلار نشان میدهد که کیف پول مهاجم در زمان انتشار این خبر همچنان حاوی بیتکوین، USDC، بایننس کوین و توکن AXL به ارزش تقریبی ۶۷۲,۰۰۰ دلار است.
جالب اینجاست که علیرغم انتشار این اخبار، هر دو توکن در ۲۴ ساعت گذشته رشد قیمتی داشتهاند؛ به طوری که توکن AXL حدود ۱.۳ درصد و توکن SCRT حدود ۵.۶ درصد افزایش قیمت را ثبت کردهاند.
این سرقت، جدیدترین مورد از سری اکسپلویتهای میانزنجیرهای در سال ۲۰۲۶ محسوب میشود. پیش از این در ماه آوریل نیز، یک مهاجم در رویدادی بسیار بزرگتر، حدود ۲۹۲ میلیون دلار دارایی rsETH را از پل مبتنی بر LayerZero متعلق به پلتفرم Kelp DAO سرقت کرده بود.
