La vulnerabilidad de "minteo infinito" en el puente Axelar y Secret Network provocó una pérdida de $4,67 millones.
El 19 de junio, el proyecto blockchain Axelar confirmó oficialmente el hackeo del puente entre cadenas que lo conecta con el protocolo Secret Network. Como resultado del ataque, el atacante retiró activos por un valor aproximado de $4,67 millones, aprovechando una vulnerabilidad crítica en el contrato inteligente, conocida como «acuñación infinita» (infinite mint).
Detalles de la explotación del error
Según el equipo de Common Prefix, desarrollador principal de Axelar, la vulnerabilidad fue descubierta en el contrato modificado CW20-ICS20, implementado en el lado de Secret Network como parte de la conexión IBC con el ecosistema Cosmos. El problema radicaba en que el algoritmo de creación de tokens «envueltos» (saToken) no verificaba el canal del que provenía la transacción entrante. Esto permitió al atacante falsificar depósitos y emitir versiones envueltas de activos sin ningún respaldo.
El atacante lanzó su propia cadena en Cosmos con un único validador, desde donde enviaba paquetes con denominaciones ficticias de tokens. Las operaciones no requerían permiso, lo que hizo que el ataque fuera técnicamente simple y rápido. Es notable que el robo pasó desapercibido durante siete días, lo que indica deficiencias en los sistemas de monitoreo y auditoría del puente.
Consecuencias y medidas de respuesta
Tras el descubrimiento del incidente, el Comité de Emergencias de Axelar desconectó inmediatamente las conexiones Secret y Secret-SNIP para detener transferencias no autorizadas adicionales. El equipo del proyecto coordina acciones con intercambios y autoridades policiales para rastrear los fondos robados y su posible recuperación. Según la declaración oficial, el ataque afectó solo a ciertas monedas: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network permanecieron intactos.
Mercado y precio de SCRT
A pesar de la gravedad del incidente, el mercado reaccionó de manera inesperada. El precio del token nativo de Secret Network (SCRT) subió casi un 6% en el momento, alcanzando la marca de $0,06. Tras una corrección, el activo cotiza alrededor de $0,058, manteniendo un crecimiento diario de aproximadamente el 3%. La capitalización de mercado actual es de unos $20 millones. En comparación, en su máximo histórico de octubre de 2021, SCRT valía $10,64, un 99,5% por encima de las cotizaciones actuales, lo que subraya una profunda tendencia bajista para este activo.
Mi análisis: Este incidente es un recordatorio más de que incluso en protocolos entre cadenas maduros, las vulnerabilidades en los contratos inteligentes siguen siendo un punto crítico de fallo. La falta de verificación del canal en la conexión IBC es un error básico pero devastador. Es interesante que el mercado no haya castigado a SCRT por el hackeo, lo que podría indicar que los inversores ya han descontado en el precio la baja liquidez y los altos riesgos. Sin embargo, para Axelar, esto es un duro golpe reputacional que podría socavar la confianza en sus soluciones de puente a largo plazo.