El hackeo del puente Axelar y Secret Network: la vulnerabilidad de "minteo infinito" costó 4,67 millones de dólares
El 19 de junio, el proyecto blockchain Axelar confirmó oficialmente el hackeo de su puente entre cadenas que lo conecta con el protocolo Secret Network. Como resultado del ataque, el atacante sustrajo aproximadamente $4,67 millones, aprovechando una vulnerabilidad crítica conocida como «minteo infinito».
Es notable que el robo pasó desapercibido durante siete días, lo que indica una eficiencia insuficiente de los sistemas de monitoreo en tiempo real. El desarrollador principal de Axelar, el equipo Common Prefix, determinó durante el análisis que el error estaba presente en el contrato inteligente ICS-20 del lado de Secret dentro de la conexión Cosmos IBC. El problema radicaba en que el algoritmo creaba versiones «envueltas» de los activos (saToken), pero no verificaba desde qué canal exacto provenía la transacción entrante. Esto permitió al atacante falsificar depósitos y emitir tokens sin ningún respaldo real.
Dado que las operaciones no requerían permiso, el atacante lanzó su propia cadena en Cosmos con un solo validador, desde la cual enviaba paquetes con denominaciones falsas de activos. Este es un ejemplo clásico de ataque a puentes entre cadenas, donde la falta de verificación de canales conduce a una emisión ilimitada.
En respuesta al incidente, el comité de emergencias de Axelar desconectó inmediatamente las conexiones Secret y Secret-SNIP para detener nuevas transferencias no autorizadas. El equipo ahora coordina acciones con exchanges y autoridades policiales para rastrear los fondos y facilitar su recuperación. Es importante destacar que el incidente se limita a las monedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network no se vieron afectados.
A pesar del impactante anuncio del robo, el mercado reaccionó de manera paradójica: el precio del token Secret (SCRT) subió casi un 6% en el momento, alcanzando los $0,06. Tras una corrección, el activo cotiza alrededor de $0,058, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado es de unos $20 millones. Sin embargo, cabe señalar que en su máximo histórico en octubre de 2021, SCRT valía $10,64, lo que supera en un 99,5% las cotizaciones actuales. Esto evidencia una profunda tendencia bajista que ni siquiera las noticias del hackeo lograron revertir.
Este incidente recuerda los recientes ataques a contratos obsoletos en la red L2 Aztec, donde en pocos días los hackers sustrajeron $2,19 millones y $2,15 millones. El mercado de puentes entre cadenas sigue siendo uno de los puntos más vulnerables en el ecosistema DeFi.
Comentario experto: Este hackeo es otra prueba de que la arquitectura de los puentes entre cadenas requiere una revisión fundamental. La vulnerabilidad del «minteo infinito» no es un error aleatorio, sino un problema sistémico relacionado con una validación insuficiente de los mensajes entre cadenas. Mientras los proyectos no implementen verificaciones multinivel y oráculos descentralizados para la verificación de activos, estos ataques se repetirán. El mercado debe estar preparado para más pérdidas si no se toman medidas preventivas.