Token bridged tramite Axelar per un valore di 4,67 milioni di dollari drenati a causa di un exploit nel contratto di Secret Network

Circa 4,67 milioni di dollari in token sono stati drenati da Secret Network dopo che un attaccante ha sfruttato uno smart contract basato su ICS-20 utilizzato per facilitare i trasferimenti cross-chain, secondo la dichiarazione di Axelar del 19 giugno.

L'incidente ha esposto un'altra debolezza nell'infrastruttura del bridge che connette le blockchain basate su Cosmos, ma Axelar ha dichiarato che il problema era isolato allo smart contract ICS-20 lato Secret utilizzato nella connessione Cosmos IBC tra Secret e Axelar. L'azienda ha affermato che il protocollo principale di Axelar, altre connessioni IBC, altre catene e altri conti in custodia non sono stati interessati.

Le attività rubate erano token bridged da Axelar a Secret Network, una blockchain focalizzata sulla privacy costruita con il Cosmos SDK. Secondo la società di ricerca sulla sicurezza blockchain Common Prefix, l'attaccante ha sfruttato un contratto token CW20-ICS20 modificato su Secret e ha rubato circa 4,67 milioni di dollari su sette asset, tra cui USDT wrapped, USDC, DAI, WETH, WBTC, WBNB e wstETH.

Difetto nel contratto lato Secret che drena le attività bridged tramite Axelar

Common Prefix ha dichiarato che la vulnerabilità risiedeva in un contratto CW20-ICS20 modificato, distribuito su Secret Network per elaborare i trasferimenti IBC in entrata, secondo quanto riportato e riassunto da Binance Square.

Questo contratto era utilizzato per generare forme wrapped dei token bridged tramite Axelar dopo che gli utenti effettuavano depositi dei loro token su Secret utilizzando il protocollo IBC. Tuttavia, il contratto non verificava due prerequisiti importanti: se i trasferimenti di token erano effettivamente avviati attraverso un canale IBC autentico controllato da Axelar e se le richieste di riscatto superavano quanto disponibile in custodia.

Ignorando questi prerequisiti, il contratto accettava tutti i pacchetti IBC malevoli come validi se l'ID del token era nella allowlist.

Pacchetti IBC falsi creavano token wrapped non coperti

Secondo l'analisi di Common Prefix, l'attaccante ha creato una blockchain Cosmos minima con un singolo validator, ha aperto un nuovo canale IBC verso Secret Network e ha inviato pacchetti di deposito falsi attraverso quella rotta.

Il contratto vulnerabile ha ricevuto i pacchetti e ha creato token wrapped non coperti su Secret. L'attacco è proseguito riscattando i token wrapped tramite il meccanismo corretto di Axelar, svuotando i conti in custodia con le effettive attività bridged.

Common Prefix ha affermato che il contratto non verificava da quale canale IBC provenivano i token. Ciò ha reso possibile accettare i pacchetti malevoli inviati tramite la catena controllata come l'operazione di bridge corretta.

Il problema sembra essere esistito per un lungo periodo. Common Prefix ha rintracciato la mancanza di convalida fino ai primi commit pubblici del 2023 e ha dichiarato che una migrazione del marzo 2026 ha mantenuto la stessa logica in avanti invece di rimuovere la sottostante debolezza.

Il difetto strutturale era l'autenticazione dei messaggi. Il sistema assumeva che i componenti a monte avrebbero gestito l'autenticazione, ma tale assunzione non si è rivelata valida nell'infrastruttura di routing dell'attaccante. Di conseguenza, i messaggi contraffatti potevano passare quando le condizioni del canale e del token erano allineate.

La risposta di emergenza isola la rotta interessata

Axelar ha dichiarato che il suo gruppo di risposta alle emergenze ha disconnesso immediatamente la connessione IBC rilevante verso Secret Network non appena ha identificato l'incidente.

Il gruppo ha sottolineato che non c'è stata alcuna violazione nel protocollo principale di Axelar e che il problema è rimasto confinato a Secret Network. Axelar ha inoltre dichiarato di essere in contatto con gli scambi e le forze dell'ordine.

Per gli utenti che hanno trasferito asset da Axelar a Secret tramite il percorso interessato, il problema immediato è il rimborso. Con l'account in escrow svuotato, gli asset tokenizzati su Secret non possono più essere riscattati contro i token sottostanti attraverso quel canale.

Il recupero potrebbe essere più complesso rispetto a un tipico exploit di un bridge su catena pubblica, poiché Secret Network crittografa per impostazione predefinita i saldi e le transazioni. Ciò significa che il portafoglio dell'attaccante e le transazioni dell'exploit sono più difficili da ispezionare tramite i normali explorer di blocco pubblici.

La sicurezza dei bridge affronta un altro test di validazione

La perdita di 4,67 milioni di dollari è inferiore rispetto ad alcuni dei più grandi furti di bridge, ma l'incidente è comunque significativo perché ha colpito un punto debole noto: la validazione dei messaggi cross-chain.

Come Cryptopolitan aveva precedentemente riportato, un bridge di Syscoin è stato sospeso questo mese dopo che un attaccante ha sfruttato un difetto di convalida per coniare circa 5 miliardi di token SYS non autorizzati. Quel incidente si è aggiunto a una lista crescente di exploit di bridge nel 2026.

A febbraio, CrossCurve ha perso circa 3 milioni di dollari dopo che gli attaccanti hanno sfruttato vulnerabilità negli smart contract del protocollo, secondo l'analisi post-mortem di Halborn.

Il caso Secret dimostra che un singolo presupposto non affrontato nell'infrastruttura cross-chain è sufficiente a causare un intero svuotamento dell'account in escrow. È possibile che un protocollo sottostante rimanga incolume mentre i contratti situati ai margini di un bridge possono comunque esporre i fondi degli utenti.

Sia Axelar che Secret Network hanno dichiarato che è in corso la redazione di un post-mortem completo. Fino ad allora, il canale compromesso funge da monito che la sicurezza dei bridge non riguarda solo il protocollo principale, ma anche ogni smart contract che gestisce le comunicazioni inter-chain.