Vulnerabilidad de "acuñación infinita": hackeo del puente Axelar y Secret Network por $4,67 millones
El 19 de junio, el proyecto blockchain Axelar confirmó oficialmente el hackeo del puente entre cadenas que conecta su infraestructura con el protocolo Secret Network. El atacante logró retirar fondos por un valor aproximado de $4,67 millones, aprovechando una vulnerabilidad crítica conocida como "acuñación infinita" (infinite mint).
El análisis del incidente, realizado por el equipo de Common Prefix —desarrollador principal de Axelar—, mostró que la brecha se encontró en el contrato inteligente ICS-20 del lado de Secret Network, dentro de la conexión IBC del ecosistema Cosmos. Este contrato era responsable de crear versiones "envueltas" de activos (saToken), pero no verificaba desde qué canal específico provenía la transacción entrante. Este error permitió al atacante falsificar depósitos y emitir tokens sin ningún respaldo real.
El robo pasó desapercibido durante siete días. Durante ese tiempo, el hacker lanzó su propia cadena en Cosmos con un único validador, desde la cual enviaba paquetes con denominaciones falsas de activos, aprovechando la falta de permisos en las operaciones.
El Comité de Emergencia de Axelar desconectó inmediatamente las conexiones Secret y Secret-SNIP para evitar más transferencias no autorizadas. Actualmente, el equipo coordina acciones con exchanges y autoridades policiales para rastrear los fondos robados y su posible recuperación. Es importante destacar que el incidente afectó exclusivamente a las monedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network permanecieron intactos.
A pesar de un incidente tan grave, el mercado reaccionó de manera mixta. El precio del token Secret (SCRT) se disparó casi un 6% en el momento, alcanzando los $0,06. Tras una corrección, el activo cotiza alrededor de $0,058, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado del proyecto es de unos $20 millones. En su máximo histórico de octubre de 2021, SCRT valía $10,64; las cotizaciones actuales están un 99,5% por debajo.
Comentario del experto: Este hackeo es un ejemplo clásico de cómo, incluso en ecosistemas maduros como Cosmos, errores banales en la lógica de los contratos inteligentes pueden provocar pérdidas millonarias. La falta de verificación del canal de la transacción entrante es un error que debería haberse detectado en la fase de auditoría. Para la comunidad, es otra señal de que la seguridad de los puentes entre cadenas sigue siendo uno de los puntos más vulnerables en DeFi, y los inversores deben considerar estos riesgos al evaluar activos.