Axelar-gebrückte Token im Wert von 4,67 Millionen US-Dollar im Secret Network Vertrags-Exploit abgezogen

Etwa 4,67 Millionen US-Dollar an Token wurden von Secret Network abgezogen, nachdem ein Angreifer einen ICS-20-basierten Smart Contract ausnutzte, der zur Erleichterung von Cross-Chain-Übertragungen verwendet wurde, laut der Erklärung von Axelar vom 19. Juni.

Der Vorfall legte eine weitere Schwäche in der Brückeninfrastruktur offen, die Cosmos-basierte Blockchains verbindet, aber Axelar sagte, das Problem sei auf den Secret-seitigen ICS-20-Smart Contract beschränkt, der in der Cosmos IBC-Verbindung zwischen Secret und Axelar verwendet wird. Das Unternehmen sagte, Axels Kernprotokoll, andere IBC-Verbindungen, andere Chains und andere Treuhandkonten seien nicht betroffen.

Die gestohlenen Vermögenswerte waren Token, die von Axelar zu Secret Network gebrückt wurden, einer auf dem Cosmos SDK aufgebauten, auf Privatsphäre fokussierten Blockchain. Laut der Blockchain-Sicherheitsforschungsfirma Common Prefix nutzte der Angreifer einen modifizierten CW20-ICS20-Token-Vertrag auf Secret aus und stahl etwa 4,67 Millionen US-Dollar über sieben Vermögenswerte, einschließlich Wrapped USDT, USDC, DAI, WETH, WBTC, WBNB und wstETH.

Secret-seitiger Vertragsfehler zieht Axelar-gebrückte Vermögenswerte ab

Common Prefix sagte, die Schwäche befand sich in einem modifizierten CW20-ICS20-Vertrag, der auf Secret Network bereitgestellt wurde, um eingehende IBC-Übertragungen zu verarbeiten, laut Berichterstattung, zusammengefasst von Binance Square.

Dieser Vertrag wurde verwendet, um Wrapped-Formen von Axelar-gebrückten Token zu generieren, nachdem Benutzer ihre Token über das IBC-Protokoll in Secret eingezahlt hatten. Der Vertrag überprüfte jedoch nicht zwei wichtige Voraussetzungen; ob die Token-Übertragungen tatsächlich über einen authentischen, von Axelar kontrollierten IBC-Kanal initiiert wurden und ob die Einlösungsanforderung mehr als das im Treuhandkonto verfügbare Betrag ausmacht.

Bei Ignorierung dieser Voraussetzungen akzeptierte der Vertrag alle bösartigen IBC-Pakete als gültig, wenn die Token-ID auf der Allowlist stand.

Falsche IBC-Pakete erstellten unbesicherte Wrapped-Token

Laut der Analyse von Common Prefix erstellte der Angreifer eine minimale Cosmos-Blockchain mit einem einzelnen Validator, öffnete einen neuen IBC-Kanal zu Secret Network und sendete gefälschte Einzahlungspakete über diese Route.

Der verwundbare Vertrag erhielt die Pakete und erstellte unbesicherte Wrapped-Token auf Secret. Der Angriff fuhr fort, indem die Wrapped-Token über den ordnungsgemäßen Axelar-Mechanismus eingelöst wurden, wodurch Treuhandkonten mit tatsächlichen gebrückten Vermögenswerten geleert wurden.

Common Prefix behauptete, der Vertrag habe nicht überprüft, von welchem IBC-Kanal die Token kamen. Dies machte es möglich, dass die bösartigen Pakete, die über die kontrollierte Chain gesendet wurden, als richtige Brückenoperation akzeptiert wurden.

Das Problem scheint seit langer Zeit bestanden zu haben. Common Prefix verfolgte die fehlende Validierung bis zu frühen öffentlichen Commits in 2023 zurück und sagte, eine Migration im März 2026 habe dieselbe Logik übernommen, anstatt die zugrunde liegende Schwäche zu entfernen.

Der strukturelle Fehler war die Nachrichtenauthentifizierung. Das System ging davon aus, dass Upstream-Komponenten die Authentifizierung übernehmen würden, aber diese Annahme hielt unter dem Routing-Setup des Angreifers nicht stand. Infolgedessen konnten gespoofte Nachrichten durchkommen, wenn Kanal- und Tokenbedingungen übereinstimmten.

Notfallreaktion isoliert die betroffene Route

Axelar erklärte, dass ihr Notfallteam die relevante IBC-Verbindung zu Secret Network sofort getrennt habe, sobald der Vorfall identifiziert wurde.

Die Gruppe betonte, dass es keinen Bruch im Kernprotokoll von Axelar gegeben habe und das Problem auf Secret Network beschränkt geblieben sei. Axelar sagte auch, es kontaktiere Börsen und Strafverfolgungsbehörden.

Für Benutzer, die Vermögenswerte von Axelar zu Secret über die betroffene Route gebrückt haben, ist das unmittelbare Problem die Einlösung. Da das Treuhandkonto geleert wurde, können Wrapped-Assets auf Secret nicht mehr über diesen Kanal in die zugrunde liegenden Token eingelöst werden.

Die Wiederherstellung könnte auch komplizierter sein als bei einem typischen Public-Chain-Brücken-Exploit, da Secret Network Balances und Übertragungen standardmäßig verschlüsselt. Das bedeutet, dass die Wallet des Angreifers und die Exploit-Transaktionen schwieriger durch Standard-Public-Block-Explorer zu inspizieren sind.

Brückensicherheit steht vor einem weiteren Validierungstest

Der Verlust von 4,67 Millionen US-Dollar ist kleiner als einige der größten Brücken-Hacks, aber der Vorfall ist dennoch wichtig, weil er einen bekannten Schwachpunkt traf: die Validierung von Cross-Chain-Nachrichten.

Wie Cryptopolitan zuvor berichtete, wurde eine Syscoin-Brücke diesen Monat pausiert, nachdem ein Angreifer eine Validierungsfehler ausnutzte, um etwa 5 Milliarden unbefugte SYS-Token zu minten. Dieser Vorfall fügte sich in eine wachsende Liste von Brücken-Exploits im Jahr 2026 ein.

Im Februar verlor CrossCurve geschätzte 3 Millionen US-Dollar, nachdem Angreifer Schwachstellen in den Smart Contracts des Protokolls ausnutzten, laut Halborns Post-Mortem.

Der Secret-Fall ist ein Beweis dafür, dass die eine unadressierte Annahme in der Cross-Chain-Infrastruktur ausreicht, um einen gesamten Treuhandkonto-Drain-Vorfall zu verursachen. Es ist möglich, dass ein zugrunde liegendes Protokoll unbeeinträchtigt bleibt, während die Verträge, die am Rand einer Brücke sitzen, dennoch die Gelder der Benutzer gefährden können.

Sowohl Axelar als auch Secret Network haben erklärt, dass ein vollständiger Post-Mortem erstellt wird. Bis dahin dient der kompromittierte Kanal als Warnung, dass Brückensicherheit nicht nur das primäre Protokoll betrifft, sondern auch jeden Smart Contract, der die Inter-Chain-Kommunikation handhabt.