Tokens puenteados por Axelar por valor de $4,67 millones drenados en el exploit del contrato de Secret Network

Aproximadamente $4,67 millones en valor de tokens fueron drenados de Secret Network después de que un atacante explotara un contrato inteligente basado en ICS-20 utilizado para facilitar transferencias entre cadenas, según el comunicado del 19 de junio de Axelar.

El incidente expuso otra debilidad en la infraestructura de puentes que conecta las blockchains basadas en Cosmos, pero Axelar dijo que el problema se aisló al contrato inteligente ICS-20 del lado de Secret utilizado en la conexión Cosmos IBC entre Secret y Axelar. La empresa dijo que el protocolo central de Axelar, otras conexiones IBC, otras cadenas y otras cuentas de custodia no se vieron afectadas.

Los activos robados fueron tokens puenteados desde Axelar a Secret Network, una blockchain centrada en la privacidad construida con el SDK de Cosmos. Según la firma de investigación de seguridad blockchain Common Prefix, el atacante explotó un contrato de token CW20-ICS20 modificado en Secret y robó aproximadamente $4,67 millones a través de siete activos, incluyendo USDT envuelto, USDC, DAI, WETH, WBTC, WBNB y wstETH.

Defecto en el contrato del lado de Secret drena activos puenteados por Axelar

Common Prefix dijo que la vulnerabilidad residía en un contrato CW20-ICS20 modificado implementado en Secret Network para procesar transferencias IBC entrantes, según un informe resumido por Binance Square.

Este contrato se utilizaba para generar formas envueltas de tokens puenteados por Axelar después de que los usuarios hicieran depósitos de sus tokens en Secret utilizando el protocolo IBC. Sin embargo, el contrato no verificaba dos requisitos previos importantes: si las transferencias de tokens se iniciaron realmente a través de un canal IBC auténtico controlado por Axelar y si las solicitudes de canje superaban lo disponible en la cuenta de custodia.

Con estos requisitos previos ignorados, el contrato aceptaba todos los paquetes IBC maliciosos como válidos si el ID del token estaba en la lista permitida.

Paquetes IBC falsos crearon tokens envueltos sin respaldo

Según el análisis de Common Prefix, el atacante creó una blockchain mínima de Cosmos con un solo validador, abrió un nuevo canal IBC hacia Secret Network y envió paquetes de depósito falsos a través de esa ruta.

El contrato vulnerable recibió los paquetes y creó tokens envueltos sin respaldo en Secret. El ataque continuó canjeando los tokens envueltos a través del mecanismo adecuado de Axelar, vaciando las cuentas de custodia con activos puenteados reales.

Common Prefix afirmó que el contrato no verificaba desde qué canal IBC provenían los tokens. Esto permitió que los paquetes maliciosos enviados a través de la cadena controlada fueran aceptados como la operación de puente correcta.

El problema parece haber existido durante un largo período. Common Prefix rastreó la falta de validación hasta los primeros commits públicos de 2023 y dijo que una migración en marzo de 2026 mantuvo la misma lógica en lugar de eliminar la debilidad subyacente.

El fallo estructural fue la autenticación de mensajes. El sistema asumía que los componentes upstream manejarían la autenticación, pero esa suposición no se mantuvo bajo la configuración de enrutamiento del atacante. Como resultado, los mensajes suplantados podían pasar cuando las condiciones del canal y del token se alineaban.

La respuesta de emergencia aísla la ruta afectada

Axelar declaró que su equipo de respuesta de emergencia desconectó la conexión IBC relevante con Secret Network inmediatamente después de identificar el incidente.

El grupo enfatizó que no ha habido ninguna violación en el protocolo central de Axelar y que el problema se mantuvo confinado solo a Secret Network. Axelar también dijo que estaba contactando con exchanges y fuerzas del orden.

Para los usuarios que puentearon activos desde Axelar a Secret a través de la ruta afectada, el problema inmediato es el canje. Con la cuenta de custodia vaciada, los activos envueltos en Secret ya no pueden canjearse por los tokens subyacentes a través de ese canal.

La recuperación también puede ser más complicada que en un exploit típico de puente de cadena pública porque Secret Network cifra los saldos y las transferencias de forma predeterminada. Eso significa que la billetera del atacante y las transacciones de exploit son más difíciles de inspeccionar a través de los exploradores de bloques públicos estándar.

La seguridad de los puentes enfrenta otra prueba de validación

La pérdida de $4,67 millones es menor que algunos de los mayores hackeos de puentes, pero el incidente sigue siendo importante porque golpeó un punto débil familiar: la validación de mensajes entre cadenas.

Como Cryptopolitan informó anteriormente, un puente de Syscoin se pausó este mes después de que un atacante explotara un defecto de validación para acuñar aproximadamente 5 mil millones de tokens SYS no autorizados. Ese incidente se sumó a una lista creciente de exploits de puentes en 2026.

En febrero, CrossCurve perdió un estimado de $3 millones después de que los atacantes explotaran vulnerabilidades en los contratos inteligentes del protocolo, según el análisis póstumo de Halborn.

El caso de Secret es evidencia de que una suposición no abordada en la infraestructura entre cadenas es suficiente para causar un incidente de drenaje total de la cuenta de custodia. Es posible que un protocolo subyacente permanezca sin comprometer mientras que los contratos que se encuentran en el borde de un puente aún pueden exponer los fondos de los usuarios.

Tanto Axelar como Secret Network han declarado que se está compilando un análisis póstumo completo. Hasta entonces, el canal comprometido sirve como advertencia de que la seguridad de los puentes no se trata solo del protocolo principal, sino también de cada contrato inteligente que maneja las comunicaciones intercadena.