El hackeo del puente Axelar y Secret Network: la vulnerabilidad de «emisión infinita» provocó una pérdida de $4,67 millones
El 19 de junio, la infraestructura blockchain Axelar confirmó oficialmente el hackeo del puente cross-chain que la conecta con el protocolo Secret Network. El atacante extrajo aproximadamente $4,67 millones, aprovechando un error crítico en un smart contract conocido como "infinite mint bug". Es notable que el robo pasó desapercibido durante siete días, lo que indica un nivel insuficiente de monitoreo de la actividad on-chain por parte de Secret.
Detalles técnicos del ataque
Según determinó el equipo de Common Prefix, desarrollador principal de Axelar, la vulnerabilidad estaba presente en el contrato modificado CW20-ICS20, utilizado en la conexión IBC de Cosmos en el lado de Secret Network. El algoritmo se encargaba de crear versiones "envueltas" de activos (saToken), pero no verificaba el canal del que provenía la transacción entrante. Esto permitió al atacante falsificar depósitos y emitir tokens sin respaldo alguno.
Dado que las operaciones en la red Cosmos no requerían permiso, el atacante lanzó su propia cadena con un solo validador. Desde esta cadena, enviaba paquetes con denominaciones ficticias de activos, que el contrato en Secret aceptaba como legítimos, emitiendo saToken sin respaldo.
Reacción y consecuencias
El comité de emergencias de Axelar desconectó rápidamente las conexiones Secret y Secret-SNIP para evitar transferencias no autorizadas adicionales. Actualmente, el equipo coordina acciones con exchanges y autoridades policiales para rastrear y posiblemente recuperar los fondos.
El incidente afectó exclusivamente a los activos envueltos: saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB y sawstETH. El protocolo principal de Axelar, otras conexiones IBC y los activos nativos de Secret Network permanecieron intactos. Esto limita el alcance del daño, pero no disminuye la gravedad de la vulnerabilidad.
Reacción del mercado
A pesar de la divulgación pública del robo, el precio del token nativo de Secret Network (SCRT) aumentó paradójicamente casi un 6%, alcanzando los $0,06. Tras una corrección, el activo se negocia alrededor de $0,058, manteniendo un crecimiento diario de aproximadamente el 3%. La capitalización de mercado es de unos $20 millones. Sin embargo, cabe destacar que desde su máximo histórico en octubre de 2021 ($10,64), SCRT ha perdido más del 99,5% de su valor.
Este incidente es un recordatorio más de que, incluso con una aparente fiabilidad, los puentes cross-chain siguen siendo uno de los puntos más vulnerables del ecosistema. La vulnerabilidad de "infinite mint" es clásica, pero, como muestra la práctica, aún no se ha erradicado por completo. En mi opinión, los equipos de proyectos deben implementar sistemas de verificación de canales de múltiples niveles y realizar auditorías centradas en la lógica de emisión, no solo en los vectores de ataque estándar.