El hackeo del puente Axelar y Secret Network: la vulnerabilidad de acuñación infinita costó 4,67 millones de dólares
El 19 de junio, el protocolo entre cadenas Axelar confirmó oficialmente el hackeo del puente entre cadenas que lo conecta con Secret Network. Como resultado del ataque, el atacante logró retirar activos digitales por un valor de aproximadamente $4,67 millones. Según se descubrió, el incidente fue posible gracias a una vulnerabilidad crítica conocida como "minteo infinito" (infinite mint).
Según los datos del análisis realizado por el equipo de desarrolladores de Common Prefix, la brecha se encontró en el contrato inteligente ICS-20, modificado para funcionar en el lado de Secret Network dentro de la conexión IBC de Cosmos. El problema radicaba en la falta de verificación del canal del que provenían las transacciones entrantes. Esto permitió al atacante manipular el algoritmo de creación de versiones "envueltas" de activos (saToken), falsificando depósitos y emitiendo tokens sin ningún respaldo real.
Para llevar a cabo el ataque, el atacante desplegó en el ecosistema de Cosmos su propia cadena con un solo validador. Desde esta red bajo su control, enviaba paquetes con montos ficticios de activos que el puente aceptaba como legítimos. Cabe destacar que el robo pasó desapercibido durante siete días.
Reacción y limitación de daños
Tras la detección del incidente, el comité de emergencias de Axelar desconectó rápidamente las conexiones Secret y Secret-SNIP, lo que evitó más transferencias no autorizadas. Actualmente, el equipo del proyecto coordina acciones con intercambios y autoridades policiales para rastrear el movimiento de los fondos robados y su posible recuperación.
Es importante destacar que el ataque afectó exclusivamente a un grupo limitado de activos: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de la propia Secret Network permanecieron intactos.
Reacción del mercado
A pesar de las alarmantes noticias, el mercado reaccionó de manera inesperada. El precio del token nativo de Secret Network (SCRT) subió casi un 6% en el momento, alcanzando los $0,06. Tras una ligera corrección, el activo se negocia alrededor de $0,058, mostrando un crecimiento diario de aproximadamente el 3%. La capitalización de mercado es de aproximadamente $20 millones. Para contexto: el máximo histórico de SCRT se registró en octubre de 2021 en $10,64, lo que significa una caída de más del 99,5% desde los valores máximos.
Este incidente subraya una vez más la importancia crítica de auditar la lógica de las interacciones entre cadenas. Las vulnerabilidades de clase "minteo infinito" en los puentes siguen siendo una de las amenazas más peligrosas para DeFi, y este ataque sirve como recordatorio de que incluso los proyectos maduros deben priorizar la verificación de la autenticidad de los datos entrantes, en lugar de simplemente confiar en el canal de transmisión.