El hackeo del puente Axelar y Secret Network: una vulnerabilidad de "acuñación infinita" provocó una pérdida de $4.67 millones
El 19 de junio, el proyecto de infraestructura blockchain Axelar reveló un ataque a su puente entre cadenas con el protocolo Secret Network. El atacante logró retirar aproximadamente $4,67 millones, aprovechando una vulnerabilidad crítica en un contrato inteligente.
Según el análisis realizado por el equipo de Common Prefix, desarrollador principal de Axelar, el error se encontró en el contrato modificado CW20-ICS20 del lado de Secret Network en la conexión IBC del ecosistema Cosmos. El problema radicaba en que el algoritmo creaba versiones "envueltas" de los activos (saToken), pero no verificaba desde qué canal provenía la transacción entrante. Esto permitió al atacante falsificar depósitos y emitir tokens sin respaldo real.
Dado que las operaciones no requerían permisos, el atacante lanzó en Cosmos una cadena con un solo validador, desde la cual enviaba paquetes con denominaciones falsas de activos. El robo pasó desapercibido durante siete días.
Consecuencias y reacción
El comité de emergencia de Axelar desconectó inmediatamente las conexiones Secret y Secret-SNIP para detener nuevas transferencias no autorizadas. El equipo coordina acciones con exchanges y autoridades policiales para rastrear los fondos y facilitar su recuperación.
El incidente se limita a las monedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network no se vieron afectados.
Mercado y precio de SCRT
A pesar de la noticia del robo, el precio del token Secret (SCRT) subió casi un 6% en el momento, alcanzando los $0,06. Tras una corrección, el activo cotiza alrededor de $0,058, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado es de ~$20 millones. En su máximo histórico de octubre de 2021, SCRT valía $10,64, un 99,5% por encima de las cotizaciones actuales.
Opinión de expertos: Este incidente es otra señal de alerta para todo el ecosistema de puentes entre cadenas. Vulnerabilidades como la de "minteo infinito" se están volviendo clásicas, pero los desarrolladores siguen sin prestar la debida atención a la validación de datos entrantes. El mercado, como de costumbre, reaccionó de manera paradójica: el aumento de SCRT tras el ataque sugiere que los inversores o no comprenden los riesgos, o consideran que el daño ya está aislado. Sin embargo, la seguridad fundamental de los protocolos sigue siendo cuestionable.