Постмортем по Secret уже опубликован. Реальная история: люди, которые изменили этот мост, не понимали, как работает собственная аутентификация. Ни один внешний аудитор никогда не был привлечен для проверки. И в течение трех лет ни один злоумышленник тоже не понимал его. Мост работал, пока (мое предположение) ИИ наконец не прочитал контракт и не увидел то, что все люди пропустили. В hindsight эта ошибка кажется почти глупой. Изначально контракт был escrow-мостом, как камера хранения: он возвращал только ту вещь, которую кто-то ранее сдал, поэтому вопрос «это депозит настоящий?» автоматически решался логикой билета. Затем его форкнули, чтобы майнить токены Axelar. Созданные токены никогда не сдавались на хранение, поэтому логика билета больше не подходила и была удалена. Тот, кто это сделал, не осознавал, что именно эти функции были единственным механизмом, проверяющим, от какой цепочки пришел депозит. Список разрешений, который их заменил, проверял, какие токены можно майнить, но никогда не проверял их источник. Таким образом, дверь была открыта с января 2023 года. Затем кто-то запустил фальшивую цепочку, назвав реальный актив, например, USDT, и создал $4,67 млн из ничего. Урок здесь не в Secret. Три года поиск этой уязвимости требовал человека, готового прочитать весь контракт — и никто этого не сделал. Этот барьер исчез. ИИ читает его полностью и внимательно за центы. Поэтому, если ваш контракт публичен и не прошел аудит ИИ, предполагайте, что ИИ злоумышленника уже его читает. Проведите аудит своего контракта первым.