Explotación del puente Axelar y Secret Network: una vulnerabilidad de "acuñación infinita" provocó una pérdida de $4,67 millones
El 19 de junio, el proyecto blockchain Axelar confirmó oficialmente el hackeo del puente entre cadenas que conecta su red con el protocolo Secret Network. Como resultado del ataque, el atacante extrajo aproximadamente $4.67 millones, aprovechando una vulnerabilidad crítica conocida como "error de acuñación infinita" (infinite mint bug). Es notable que el robo pasó desapercibido durante siete días, lo que indica una falta de capacidad de respuesta en los sistemas de monitoreo.
Detalles del exploit: cómo se llevó a cabo el ataque
Según el análisis realizado por el equipo del desarrollador principal de Axelar, Common Prefix, la vulnerabilidad se encontró en el contrato inteligente ICS-20, modificado para funcionar en el lado de Secret Network dentro de la conexión IBC con el ecosistema Cosmos. El contrato era responsable de crear versiones "envueltas" de los activos de Axelar (tokens tipo saToken). Sin embargo, la falla clave radicaba en la falta de verificación del canal del que provenía la transacción entrante. Esto permitió al atacante falsificar datos de depósitos y emitir tokens sin respaldo sin ninguna reserva real.
Dado que el protocolo no requería permiso para realizar tales operaciones, el atacante lanzó su propia cadena personalizada en Cosmos con un único validador. Desde esta red controlada, enviaba paquetes con valores ficticios de activos que el contrato en Secret aceptaba como legítimos, "imprimiendo" así millones de dólares en tokens envueltos.
Reacción y consecuencias
El comité de emergencia de Axelar desconectó de inmediato las conexiones Secret y Secret-SNIP para evitar más transferencias no autorizadas. Actualmente, el equipo está coordinando acciones con intercambios centralizados y autoridades policiales para rastrear los fondos robados y su posible recuperación.
Es importante destacar que el incidente afectó exclusivamente a un grupo limitado de activos: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network (SCRT) permanecieron intactos. A pesar de esto, el mercado reaccionó de manera paradójica: el precio del token SCRT subió casi un 6% en el momento, alcanzando $0.06. Después de una corrección, el activo se cotiza alrededor de $0.058, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado del proyecto es de unos $20 millones. Para contexto, en su máximo histórico en octubre de 2021, SCRT valía $10.64, un 99.5% por encima de las cotizaciones actuales.
Mi comentario experto: Este incidente es un ejemplo clásico de cómo, incluso en ecosistemas maduros como Cosmos IBC, un simple error lógico en un contrato puede provocar pérdidas multimillonarias. La falta de verificación del canal emisor es un descuido fundamental que debería haberse detectado durante la fase de auditoría. El mercado, por su parte, muestra una resiliencia sorprendente: el aumento de SCRT en medio del hackeo sugiere que los inversores perciben este caso como una falla aislada que no socava la confianza en el propio protocolo de Secret Network. Sin embargo, para Axelar, esto es un golpe reputacional grave que requerirá reforzar la seguridad de todas las conexiones de puentes.