El puente entre cadenas Axelar fue hackeado por $4,67 millones: el exploit de «emisión infinita» pasó desapercibido durante una semana
El 19 de junio, la infraestructura blockchain Axelar confirmó un ataque a su puente que conecta el ecosistema Cosmos con el protocolo Secret Network. El atacante logró extraer aproximadamente $4,67 millones aprovechando una vulnerabilidad crítica en el contrato inteligente ICS-20 del lado de Secret.
Según el análisis interno del equipo de Axelar, el incidente fue posible debido a un error de "minteo infinito" (infinite-mint bug). El contrato responsable de crear versiones "envueltas" de activos (saTokens) no verificaba el origen de las transacciones entrantes, es decir, no comprobaba desde qué canal IBC específico llegaba la solicitud. Esto permitió al atacante falsificar depósitos.
Para ejecutar el ataque, el hacker desplegó su propia cadena en la red Cosmos con un solo validador. A través de esta cadena, enviaba paquetes con montos ficticios de activos, tras lo cual el contrato en Secret Network generaba incondicionalmente la cantidad correspondiente de tokens envueltos. Es notable que el robo pasó desapercibido durante siete días; solo una semana después, el equipo de Axelar detectó la anomalía.
El comité de emergencia de Axelar desconectó inmediatamente las conexiones Secret y Secret-SNIP para evitar transferencias no autorizadas adicionales. Actualmente, el equipo coordina acciones con intercambios y autoridades policiales para rastrear y posiblemente recuperar los fondos robados.
Es importante destacar que el incidente afectó exclusivamente a los activos envueltos: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network (SCRT) no resultaron afectados.
A pesar de las alarmantes noticias, el mercado reaccionó de manera paradójica: el precio de SCRT subió casi un 6% en el momento, alcanzando los $0,06. Tras una corrección, el activo cotiza alrededor de $0,058, manteniendo un aumento diario de aproximadamente el 3%. La capitalización de mercado es de unos $20 millones. Sin embargo, cabe recordar que en su máximo histórico en octubre de 2021, SCRT valía $10,64; las cotizaciones actuales son un 99,5% inferiores.
Este caso es un recordatorio más de que incluso en ecosistemas maduros con contratos formalmente auditados, persisten vulnerabilidades ocultas. La falta de validación del origen de las transacciones entrantes en las conexiones IBC es un error fundamental que podría replicarse en otros puentes. Recomiendo encarecidamente a los equipos de proyectos que auditen sus contratos ICS en busca de errores similares.