BlockBeats tin tức, ngày 21 tháng 6, tổ chức nghiên cứu blockchain Common Prefix tiết lộ rằng vào ngày 10 tháng 6, hacker đã khai thác lỗ hổng hợp đồng cầu nối giữa Secret Network và Axelar, giả mạo khoản tiền gửi và tạo ra các token không có tài sản thế chấp, sau đó đổi và rút khoảng 4,67 triệu USD. Cuộc tấn công kéo dài bảy ngày mà không bị phát hiện, cho đến ngày 17 tháng 6, một giao dịch chuyển chuỗi bình thường thất bại do tài khoản ký quỹ không đủ tiền, mới lộ ra điểm bất thường.

Nguyên nhân gốc rễ của lỗ hổng là khi hợp đồng thay đổi mô hình ký quỹ thành mô hình đúc token, đã xóa hai hàm quan trọng chịu trách nhiệm xác minh nguồn gốc chuyển tiền, và kể từ khi triển khai đầu năm 2023, chưa từng có kiểm toán bên ngoài. Secret Network chỉ ra rằng cơ sở hạ tầng cầu nối Axelar đã không kích hoạt bất kỳ cơ chế giám sát bất thường hiệu quả hoặc tạm dừng khẩn cấp nào trước khi tài sản bị đánh cắp trên quy mô lớn.

Số tiền bị đánh cắp đã được định tuyến qua Osmosis đến Ethereum, và sau khi đổi thành ETH trên CoW Protocol, được phân tán chuyển vào các sàn giao dịch như KuCoin, ChangeNow và HitBTC. Hiện tại, khoảng 672.000 USD vẫn còn trong ví Axelar của kẻ tấn công. Secret Network đã yêu cầu Axelar đóng băng địa chỉ này, nhưng bị từ chối.

Về phía Axelar nhấn mạnh rằng giao thức cốt lõi của họ chưa bao giờ bị ảnh hưởng, hợp đồng bị khai thác không phải do Axelar phát triển hoặc bảo trì. Hiện tại, Axelar đã vô hiệu hóa kết nối chuỗi liên quan và cho biết đang phối hợp theo dõi với các sàn giao dịch và cơ quan thực thi pháp luật.