无限铸币漏洞：Axelar 在 Secret Network 桥接攻击中损失 467 万美元
6月19日，区块链项目Axelar披露了一起桥接攻击事件，该桥接连接其基础设施与Secret Network协议。攻击者利用智能合约中的关键"无限铸造"漏洞，盗走了约467万美元。此次盗窃在七天内未被发现，暴露出两个网络在监控系统方面的严重缺陷。
该漏洞存在于Secret侧运行于Cosmos IBC连接中的修改版CW20-ICS20合约中。该算法会创建资产的"包装"版本（saToken），但未验证传入交易来自哪个通道。这使得攻击者能够伪造存款，并在没有任何抵押的情况下发行代币。简而言之，黑客在Cosmos中启动了一条仅含一个验证者的自有链，从中发送带有虚假资产面额的包，从而欺骗桥接。这种攻击向量是跨链消息验证不足的典型案例，我们在其他事件中已多次观察到。
Axelar紧急委员会迅速断开了Secret和Secret-SNIP连接，以阻止新的未经授权转账。团队正与交易所和执法机构协调，追踪资金并协助追回。根据声明，此次事件仅限于saUSDT、saUSDC、saDAI、saWETH、saWBTC、saWBNB和sawstETH代币。Axelar核心协议、其他IBC连接以及Secret Network原生资产未受影响。
尽管发生了盗窃事件，Secret代币（SCRT）价格一度飙升近6%，达到0.06美元。经过回调后，该资产交易价约为0.058美元，日涨幅仍保持在3%左右。市值约为2000万美元。而在2021年10月的历史高点，SCRT曾达到10.64美元，较当前报价高出99.5%。这种市场反应表明，投资者目前尚未将此事件视为对项目的致命打击，尽管对桥接的信任仍然极其脆弱。
分析评论：此次黑客攻击再次提醒我们，跨链桥接仍是DeFi生态系统中最脆弱的环节。ICS-20合约中的"无限铸造"漏洞并非新技术，而是审计疏忽或实现过时的结果。在我看来，行业迫切需要为IBC连接制定标准化的安全协议，否则此类事件将以令人担忧的频率重演。