Постмортем Secret уже вийшов. Справжня історія: люди, які змінили цей міст, не розуміли, як працює його власна автентифікація. Ніхто ззовні ніколи не був запрошений перевірити його. І протягом трьох років жоден нападник не зрозумів його. Міст працював, доки (моє припущення) штучний інтелект не прочитав контракт і не побачив те, що пропустили всі люди. У зворотному порядку ця помилка майже дурна. Контракт спочатку був ескроу-мостом, як камера для одягу: він повертає лише той одяг, який раніше був здано, тому питання «чи цей депозит справжній?» відповідалося безкоштовно за допомогою логіки квитка. Потім його форкнули, щоб мінтити токени Axelar. Токени, що були випущені, ніколи не здавалися, тому логіка квитка не підходила і її видалили. Той, хто це зробив, не усвідомлював, що саме ці функції були єдиним засобом перевірки, з якого ланцюжка походить депозит. Список дозволів, який їх замінив, перевіряв лише, який токен можна мінтити, але ніколи його джерело. Отже, двері були відкриті з січня 2023 року. Потім хтось запустив фальшивий ланцюжок, назвав реальний актив, наприклад USDT, і випустив $4,67 млн з нічого. Висновок не стосується саме Secret. Протягом трьох років знайти це вимагало людини, готової прочитати весь контракт — і ніхто цього не зробив. Ця перешкода зникла. Штучний інтелект читає його повністю, уважно, за центи. Тож якщо ваш контракт є публічним і не проходив аудит штучного інтелекту, припустіть, що атакуючий AI вже читає його. Проведіть аудит свого контракту першим.