Vulnerabilidad de acuñación infinita: Axelar perdió $4.67 millones en un ataque al puente con Secret Network
El 19 de junio, el proyecto blockchain Axelar reveló el hackeo del puente que conecta su infraestructura con el protocolo Secret Network. El atacante extrajo aproximadamente $4,67 millones aprovechando una vulnerabilidad crítica de "minteo infinito" en el contrato inteligente. El robo pasó desapercibido durante siete días, lo que indica graves deficiencias en el sistema de monitoreo de ambas redes.
El error se detectó en el contrato modificado CW20-ICS20 del lado de Secret, que opera en la conexión Cosmos IBC. El algoritmo creaba versiones "envueltas" de activos (saToken), pero no verificaba desde qué canal provenía la transacción entrante. Esto permitió al atacante falsificar depósitos y emitir tokens sin respaldo alguno. En términos simples, el hacker lanzó su propia cadena en Cosmos con un solo validador, desde donde enviaba paquetes con denominaciones ficticias de activos, engañando al puente. Este vector de ataque es un ejemplo clásico de validación insuficiente de mensajes entre redes, que hemos observado repetidamente en otros incidentes.
El comité de emergencia de Axelar desconectó rápidamente las conexiones Secret y Secret-SNIP para detener nuevas transferencias no autorizadas. El equipo coordina acciones con exchanges y autoridades policiales para rastrear los fondos y facilitar su recuperación. Según el comunicado, el incidente se limita a las monedas saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network no se vieron afectados.
A pesar del informe del robo, el precio del token Secret (SCRT) subió momentáneamente casi un 6%, alcanzando los $0,06. Tras la corrección, el activo cotiza alrededor de $0,058, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado es de ~$20 millones. Mientras tanto, en su máximo histórico de octubre de 2021, SCRT valía $10,64, un 99,5% más que las cotizaciones actuales. Esta reacción del mercado muestra que los inversores aún no perciben este incidente como fatal para el proyecto, aunque la confianza en los puentes sigue siendo extremadamente frágil.
Comentario analítico: Este hackeo es un recordatorio más de que los puentes entre cadenas siguen siendo el punto más vulnerable en el ecosistema DeFi. La vulnerabilidad de "minteo infinito" en el contrato ICS-20 no es una técnica nueva, sino más bien el resultado de una auditoría descuidada o una implementación obsoleta. En mi opinión, la industria necesita urgentemente protocolos de seguridad estandarizados para las conexiones IBC; de lo contrario, estos incidentes se repetirán con una regularidad alarmante.