Khoảng 4,67 triệu USD tài sản đã bị rút khỏi Secret Network sau khi một smart contract dựa trên ICS-20 bị khai thác trong luồng chuyển tài sản xuyên chuỗi với Axelar.
Vụ việc tập trung vào một mắt xích cụ thể của hạ tầng bridge trong hệ Cosmos, trong khi Axelar cho biết giao thức lõi và các kết nối IBC khác không bị ảnh hưởng. Đây là một nhắc nhở khác rằng lỗi xác thực thông điệp xuyên chuỗi vẫn là điểm rủi ro lớn.
- Kẻ tấn công đã khai thác smart contract ICS-20 phía Secret để tạo token bọc không có tài sản bảo chứng.
- Khoảng 4,67 triệu USD đã bị rút, gồm nhiều tài sản như wrapped USDT, USDC, DAI, WETH, WBTC, WBNB và wstETH.
- Axelar nói chỉ một kết nối IBC liên quan bị ngắt, còn core protocol và các chuỗi khác không bị ảnh hưởng.
Lỗ hổng nằm ở contract phía Secret Network
Secret Network là nơi xảy ra lỗi, cụ thể ở một smart contract CW20-ICS20 đã được sửa đổi để xử lý các chuyển tiền IBC đi vào mạng này. Contract không kiểm tra đúng hai điều kiện quan trọng: giao dịch có thực sự đi qua kênh IBC do Axelar kiểm soát hay không, và yêu cầu rút có vượt quá số dư ký quỹ hay không.
Khi các bước kiểm tra này bị bỏ qua, contract chấp nhận những gói IBC giả nếu token nằm trong danh sách cho phép. Từ đó, token bọc được tạo ra mà không có tài sản bảo chứng tương ứng.
Cách thức tấn công: gửi gói IBC giả để tạo tài sản không được bảo chứng
Attacker đã dựng một blockchain Cosmos tối thiểu với một validator, mở kênh IBC mới đến Secret Network rồi gửi các gói nạp tiền giả qua kênh đó. Contract nhận các gói này như giao dịch hợp lệ và phát hành wrapped token trên Secret.
Sau khi có token bọc, kẻ tấn công tiếp tục đổi chúng theo cơ chế Axelar bình thường để rút tài sản thật trong escrow. Theo phân tích được nêu, contract không kiểm tra token đến từ kênh IBC nào, nên các gói giả có thể bị chấp nhận như luồng chuyển tiền đúng.
Lỗ hổng này được cho là đã tồn tại từ các bản ghi công khai đầu năm 2023 và một đợt migration vào tháng 3 năm 2026 vẫn giữ nguyên logic cũ. Vấn đề cốt lõi nằm ở xác thực thông điệp, không phải ở giao thức lõi của Axelar.
Axelar đã ngắt kết nối liên quan với Secret Network
Axelar cho biết nhóm ứng phó khẩn cấp đã tách ngay kết nối IBC liên quan đến Secret Network sau khi phát hiện sự cố. Công ty nói core protocol của Axelar không bị xâm phạm và các chain, escrow account khác vẫn an toàn.
Axelar cũng nói đang liên hệ với các sàn giao dịch và cơ quan thực thi pháp luật. Hiện chưa rõ thêm chi tiết về quá trình phục hồi cho người dùng đã chuyển tài sản qua tuyến bị ảnh hưởng.
Ảnh hưởng đối với người dùng và thị trường bridge
Người dùng đã bridge tài sản từ Axelar sang Secret qua route bị khai thác có thể gặp vấn đề khi redeem. Khi escrow đã bị rút sạch, wrapped asset trên Secret không còn được đổi lại thành token gốc qua đúng kênh đó.
Vụ việc tiếp tục cho thấy bridge vẫn là một trong những điểm yếu quen thuộc của crypto, nhất là ở lớp xác thực thông điệp xuyên chuỗi. Dù thiệt hại không thuộc nhóm lớn nhất, sự cố này vẫn tác động đến niềm tin vào các cơ chế chuyển tài sản giữa chain.
Một số sự cố tương tự gần đây đã xảy ra ở các bridge khác, gồm Syscoin và CrossCurve. Điều đó cho thấy rủi ro thường nằm ở các smart contract và quy trình xác thực xung quanh bridge, không chỉ ở giao thức chính.
Tổng kết
Vụ khai thác trên Secret Network là một lỗi xác thực ở contract phía cầu nối, khiến tài sản bọc không có bảo chứng được tạo ra và rút đi. Axelar nói sự cố đã được khoanh vùng, nhưng diễn biến này vẫn là lời nhắc về rủi ro của hạ tầng cross-chain.
