El hackeo del puente Axelar y Secret Network: una vulnerabilidad de "minteo infinito" provocó una pérdida de $4.67 millones
El 19 de junio, el proyecto blockchain Axelar confirmó oficialmente el hackeo del puente entre cadenas que lo conecta con Secret Network. El atacante logró retirar activos por un valor aproximado de $4,67 millones, aprovechando una vulnerabilidad crítica conocida como «minteo infinito» (infinite mint).
Según el análisis realizado por el equipo de Common Prefix, el error se encontró en el contrato inteligente ICS-20, implementado en el lado de Secret Network como parte de la conexión Cosmos IBC. Este contrato se encargaba de crear versiones «envueltas» de activos (saToken), pero no verificaba el canal desde el que llegaba la transacción entrante. Esto permitió al atacante falsificar depósitos y emitir tokens sin respaldo real.
El atacante lanzó su propia cadena Cosmos con un solo validador, desde la cual enviaba paquetes con valores falsos de activos. Las operaciones no requerían permiso, lo que hizo que el ataque fuera fácil de ejecutar. El robo pasó desapercibido durante siete días.
El comité de emergencia de Axelar desconectó inmediatamente las conexiones Secret y Secret-SNIP para evitar nuevas transferencias no autorizadas. El equipo coordina acciones con exchanges y autoridades para rastrear los fondos y su posible recuperación.
El incidente afectó solo a las monedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network no se vieron afectados.
A pesar de la noticia del robo, el precio del token Secret (SCRT) subió casi un 6% en el momento, alcanzando los $0,06. Tras una corrección, el activo cotiza alrededor de $0,058, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado es de unos $20 millones. Mientras tanto, el máximo histórico de SCRT en octubre de 2021 fue de $10,64, un 99,5% por encima de las cotizaciones actuales.
Comentario del experto: El ataque al puente Axelar es un recordatorio más de que incluso en ecosistemas maduros como Cosmos pueden quedar errores críticos en contratos inteligentes. La vulnerabilidad de tipo «minteo infinito» es un error clásico que los desarrolladores deberían detectar en la fase de auditoría. El hecho de que el robo pasara desapercibido durante una semana indica una monitorización insuficiente de la actividad on-chain. Los inversores deberían prestar atención a los proyectos que implementan sistemas automatizados de detección de anomalías.