El hackeo del puente Axelar y Secret Network: una vulnerabilidad de "emisión infinita" provocó una pérdida de $4.67 millones
El 19 de junio, el proyecto blockchain Axelar reveló un compromiso en el puente que lo conecta con el protocolo Secret Network. Como resultado del ataque, el atacante extrajo aproximadamente $4.67 millones utilizando una vulnerabilidad crítica conocida como "acuñación infinita" (infinite mint). El incidente pasó desapercibido durante siete días, lo que indica una falta de capacidad de respuesta en la monitorización de este segmento.
Según los datos del desarrollador principal de Axelar, el equipo de Common Prefix, el error se detectó en el contrato inteligente ICS-20 del lado de Secret dentro de la conexión IBC de Cosmos. El contrato creaba versiones "envueltas" de activos (saToken), pero no verificaba desde qué canal específico provenía la transacción entrante. Esto permitió al atacante falsificar depósitos y emitir tokens sin respaldo real. Dado que las operaciones no requerían permiso, el atacante lanzó una cadena separada en Cosmos con un solo validador, desde la cual enviaba paquetes con denominaciones ficticias de activos.
El comité de emergencias de Axelar desconectó inmediatamente las conexiones Secret y Secret-SNIP para detener nuevas transferencias no autorizadas. El equipo está coordinando acciones con intercambios y autoridades policiales para rastrear los fondos y facilitar su recuperación. Es importante destacar que el incidente se limita a las monedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network no se vieron afectados.
A pesar de las noticias negativas, el precio del token Secret (SCRT) saltó casi un 6% en el momento, alcanzando los $0.06. Tras una corrección, el activo se negocia alrededor de $0.058, manteniendo un crecimiento diario de aproximadamente el 3%. La capitalización de mercado es de unos $20 millones. Mientras tanto, en su máximo histórico de octubre de 2021, SCRT valía $10.64, un 99.5% por encima de las cotizaciones actuales, lo que indica una profunda tendencia bajista para este activo.
Comentario analítico: Incidentes como este vuelven a plantear la cuestión de la seguridad de los puentes entre cadenas, que siguen siendo uno de los puntos más vulnerables en el ecosistema DeFi. La vulnerabilidad de "acuñación infinita" es un error clásico relacionado con una validación insuficiente de los datos entrantes. En medio de la caída histórica del SCRT del 99.5% desde su máximo, el mercado parece haber descontado ya los riesgos de tales fallos, lo que explica el crecimiento a corto plazo tras la revelación del incidente: los inversores podrían haberlo percibido como una "incógnita conocida".