Jetons pontés via Axelar : 4,67 millions de dollars drainés lors d’une exploitation du contrat Secret Network

Environ 4,67 millions de dollars de jetons ont été drainés de Secret Network après qu’un attaquant ait exploité un contrat intelligent basé sur ICS-20 utilisé pour faciliter les transferts inter-chaînes, selon la déclaration d’Axelar du 19 juin.

L’incident a mis en lumière une autre faiblesse de l’infrastructure de pont reliant les blockchains basées sur Cosmos, mais Axelar a précisé que le problème était isolé au contrat intelligent ICS-20 côté Secret utilisé dans la connexion Cosmos IBC entre Secret et Axelar. L’entreprise a indiqué que le protocole central d’Axelar, les autres connexions IBC, les autres chaînes et les autres comptes séquestres n’étaient pas affectés.

Les actifs volés étaient des jetons pontés d’Axelar vers Secret Network, une blockchain axée sur la confidentialité construite avec le SDK Cosmos. Selon le cabinet de recherche en sécurité blockchain Common Prefix, l’attaquant a exploité un contrat de jeton CW20-ICS20 modifié sur Secret et a volé environ 4,67 millions de dollars sur sept actifs, notamment USDT enveloppé, USDC, DAI, WETH, WBTC, WBNB et wstETH.

Une faille du contrat côté Secret draine les actifs pontés via Axelar

Common Prefix a déclaré que la vulnérabilité résidait dans un contrat CW20-ICS20 modifié déployé sur Secret Network pour traiter les transferts IBC entrants, selon un rapport résumé par Binance Square.

Ce contrat était utilisé pour générer des formes enveloppées de jetons pontés via Axelar après que les utilisateurs aient effectué des dépôts de leurs jetons dans Secret en utilisant le protocole IBC. Cependant, le contrat ne vérifiait pas deux prérequis importants : si les transferts de jetons avaient réellement été initiés via un canal IBC authentique contrôlé par Axelar et si les demandes de remboursement dépassaient ce qui était disponible dans le compte séquestre.

Avec ces prérequis ignorés, le contrat acceptait tous les paquets IBC malveillants comme valides si l’ID du jeton figurait sur la liste autorisée.

Des paquets IBC falsifiés ont créé des jetons enveloppés sans couverture

Selon l’analyse de Common Prefix, l’attaquant a créé une blockchain Cosmos minimale avec un seul validateur, a ouvert un nouveau canal IBC vers Secret Network et a envoyé de faux paquets de dépôt via cette voie.

Le contrat vulnérable a reçu les paquets et a créé des jetons enveloppés sans couverture sur Secret. L’attaque s’est poursuivie par le remboursement des jetons enveloppés via le mécanisme Axelar approprié, vidant les comptes séquestres contenant les actifs réellement pontés.

Common Prefix a affirmé que le contrat ne vérifiait pas par quel canal IBC les jetons provenaient. Cela a permis aux paquets malveillants envoyés via la chaîne contrôlée d’être acceptés comme une opération de pont correcte.

Le problème semble avoir existé pendant une longue période. Common Prefix a retracé l’absence de validation jusqu’aux premiers commits publics de 2023 et a indiqué qu’une migration en mars 2026 a conservé la même logique au lieu de supprimer la faiblesse sous-jacente.

La défaillance structurelle concernait l’authentification des messages. Le système supposait que les composants en amont géreraient l’authentification, mais cette hypothèse ne s’est pas avérée valide dans la configuration de routage de l’attaquant. Par conséquent, des messages usurpés ont pu passer lorsque les conditions de canal et de jeton étaient alignées.

La réponse d’urgence isole la route affectée

Axelar a déclaré que son groupe de tâche d’urgence a déconnecté la connexion IBC pertinente vers Secret Network immédiatement après avoir identifié l’incident.

Le groupe a souligné qu’il n’y avait eu aucune brèche dans le protocole central d’Axelar et que le problème restait confiné à Secret Network uniquement. Axelar a également indiqué qu’elle contactait les échanges et les forces de l’ordre.

Pour les utilisateurs qui ont ponté des actifs d’Axelar vers Secret via la route affectée, le problème immédiat est le remboursement. Avec le compte séquestre vidé, les actifs enveloppés sur Secret ne peuvent plus être remboursés contre les jetons sous-jacents via ce canal.

Le processus de récupération peut également être plus complexe que dans une exploitation typique de pont de chaîne publique, car Secret Network chiffre les soldes et les transferts par défaut. Cela signifie que le portefeuille de l’attaquant et les transactions d’exploitation sont plus difficiles à inspecter via les explorateurs de blocs publics standards.

La sécurité des ponts fait face à un nouveau test de validation

La perte de 4,67 millions de dollars est inférieure à certaines des plus grandes attaques de ponts, mais l’incident reste important car il a touché un point faible familier : la validation des messages inter-chaînes.

Comme Cryptopolitan l’avait précédemment rapporté, un pont Syscoin a été suspendu ce mois-ci après qu’un attaquant ait exploité une faille de validation pour créer environ 5 milliards de jetons SYS non autorisés. Cet incident s’ajoute à une liste croissante d’exploitations de ponts en 2026.

En février, CrossCurve a perdu environ 3 millions de dollars après que des attaquants aient exploité des vulnérabilités dans les contrats intelligents du protocole, selon l’analyse post-mortem de Halborn.

L’affaire Secret est la preuve que l’hypothèse non traitée dans l’infrastructure inter-chaînes est suffisante pour provoquer un incident de vidage total d’un compte séquestre. Il est possible qu’un protocole sous-jacent reste intact tandis que les contrats situés à la périphérie d’un pont peuvent toujours exposer les fonds des utilisateurs.

Axelar et Secret Network ont tous deux déclaré qu’un rapport post-mortem complet est en cours de compilation. Jusqu’à présent, le canal compromis sert d’avertissement que la sécurité des ponts ne concerne pas seulement le protocole principal, mais aussi chaque contrat intelligent qui gère les communications inter-chaînes.