El hackeo del puente entre cadenas Axelar y Secret Network: la vulnerabilidad de "acuñación infinita" costó 4,67 millones de dólares
El 19 de junio, la infraestructura blockchain Axelar confirmó oficialmente un incidente de seguridad relacionado con el puente que conecta su red con el protocolo Secret Network. Como resultado de la explotación de una vulnerabilidad crítica, un atacante retiró activos por un valor aproximado de 4,67 millones de dólares. La característica clave del ataque fue el uso del llamado "minteo infinito", un método que permite crear tokens ilimitadamente sin respaldo real.
Según datos del equipo analítico Common Prefix, desarrollador principal de Axelar, la brecha se detectó en el contrato inteligente ICS-20 del lado de Secret Network, que opera a través de una conexión IBC en el ecosistema Cosmos. El contrato era responsable de crear versiones "envueltas" de activos (saToken), pero no verificaba desde qué canal específico provenía la transacción entrante. Esto permitió al atacante fabricar depósitos y emitir tokens sin ningún respaldo.
El proceso del ataque no requirió permisos: el hacker lanzó su propia cadena en Cosmos con un solo validador, desde donde enviaba paquetes con denominaciones ficticias de activos. Cabe destacar que el robo pasó desapercibido durante siete días, lo que indica una falta de rapidez en la monitorización de los contratos del puente.
El comité de emergencia de Axelar desconectó rápidamente las conexiones Secret y Secret-SNIP para detener nuevas transferencias no autorizadas. El equipo coordina acciones con intercambios y autoridades policiales para rastrear los fondos y facilitar su recuperación. El incidente afectó exclusivamente a las monedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network no resultaron afectados.
A pesar del informe del robo, el precio del token Secret (SCRT) reaccionó de manera inesperada: en el momento, el activo subió casi un 6%, alcanzando los 0,06 dólares. Tras una corrección, SCRT cotiza alrededor de 0,058 dólares, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado es de unos 20 millones de dólares. Sin embargo, cabe señalar que en su máximo histórico en octubre de 2021, SCRT valía 10,64 dólares, un 99,5% más que las cotizaciones actuales, lo que subraya una profunda caída en el interés por el proyecto.
Mi comentario profesional: Este incidente es un recordatorio más de los riesgos sistémicos de los puentes entre cadenas, especialmente aquellos que utilizan contratos modificados sin una verificación adecuada de los canales. La vulnerabilidad del "minteo infinito" sigue siendo una de las más peligrosas para DeFi, y su explotación durante una semana sin ser detectada indica la necesidad de implementar sistemas de auditoría automatizados en tiempo real. Para los inversores, es una señal: solo se debe confiar en los puentes tras una revisión exhaustiva de su arquitectura e historial de seguridad.