Tokens ponteados pela Axelar no valor de $4,67 milhões drenados em exploração de contrato na Secret Network

Aproximadamente $4,67 milhões em tokens foram drenados da Secret Network após um atacante explorar um contrato inteligente baseado em ICS-20 usado para facilitar transferências cross-chain, de acordo com a declaração da Axelar de 19 de junho.

O incidente expôs outra fraqueza na infraestrutura da ponte conectando blockchains baseadas em Cosmos, mas a Axelar disse que o problema estava isolado ao contrato inteligente ICS-20 do lado da Secret usado na conexão Cosmos IBC entre a Secret e a Axelar. A empresa disse que o protocolo principal da Axelar, outras conexões IBC, outras chains e outras contas de custódia não foram afetadas.

Os ativos roubados eram tokens transferidos do Axelar para a Secret Network, uma blockchain focada em privacidade construída com o Cosmos SDK. De acordo com a empresa de pesquisa em segurança blockchain Common Prefix, o atacante explorou um contrato de token CW20-ICS20 modificado na Secret e roubou cerca de US$ 4,67 milhões em sete ativos, incluindo USDT, USDC, DAI, WETH, WBTC, WBNB e wstETH.

Falha no contrato da Secret drena ativos transferidos do Axelar

A Common Prefix disse que a vulnerabilidade estava em um contrato CW20-ICS20 modificado implantado na Secret Network para processar transferências IBC de entrada, de acordo com o relatório resumido por Binance Square.

Este contrato era usado para gerar versões derivadas (wrapped) de tokens transferidos do Axelar após os usuários depositarem seus tokens na Secret usando o protocolo IBC. No entanto, o contrato não verificava dois pré-requisitos importantes: se as transferências de tokens foram realmente iniciadas por meio de um canal IBC autêntico controlado pelo Axelar e se as solicitações de resgate excediam o valor disponível em custódia.

Com esses pré-requisitos ignorados, o contrato aceitava todos os pacotes IBC maliciosos como válidos se o ID do token estivesse na lista de permissões.

Pacotes IBC falsos criaram tokens derivadas sem lastro

De acordo com a análise da Common Prefix, o atacante criou uma blockchain Cosmos mínima com um único validador, abriu um novo canal IBC para a Secret Network e enviou pacotes de depósito falsos por essa rota.

O contrato vulnerável recebeu os pacotes e criou tokens derivadas sem lastro na Secret. O ataque prosseguiu resgatando os tokens derivadas por meio do mecanismo Axelar adequado, esvaziando as contas de custódia com os ativos reais transferidos.

A Common Prefix afirmou que o contrato não verificava de qual canal IBC os tokens estavam chegando. Isso permitiu que os pacotes maliciosos enviados por meio da cadeia controlada fossem aceitos como a operação de ponte correta.

O problema parece ter existido por um longo período. A Common Prefix rastreou a validação ausente até os primeiros commits públicos de 2023 e afirmou que uma migração em março de 2026 manteve a mesma lógica, em vez de remover a fraqueza subjacente.

A falha estrutural estava na autenticação de mensagens. O sistema assumia que os componentes upstream cuidariam da autenticação, mas essa suposição não se sustentou sob a configuração de roteamento do atacante. Como resultado, mensagens falsificadas podiam passar quando as condições do canal e do token estavam alinhadas.

Resposta de emergência isola a rota afetada

A Axelar afirmou que sua força-tarefa de emergência desconectou a conexão IBC relevante com a Secret Network imediatamente após identificar o incidente.

O grupo enfatizou que não houve violação no protocolo principal do Axelar e que o problema permaneceu confinado apenas à Secret Network. A Axelar também disse que estava entrando em contato com exchanges e autoridades policiais.

Para os usuários que transferiram ativos do Axelar para a Secret por meio da rota afetada, o problema imediato é o resgate. Com a conta de custódia esvaziada, os ativos derivadas na Secret não podem mais ser resgatados pelos tokens subjacentes por meio desse canal.

A recuperação pode ser mais complicada do que em uma exploração típica de ponte de cadeia pública, pois a Secret Network criptografa saldos e transferências por padrão. Isso significa que a carteira do atacante e as transações de exploração são mais difíceis de inspecionar por meio dos exploradores de bloco públicos padrão.

A segurança das pontes enfrenta outro teste de validação

A perda de US$ 4,67 milhões é menor do que alguns dos maiores hacks de pontes, mas o incidente ainda é relevante porque atingiu um ponto fraco familiar: a validação de mensagens entre cadeias.

Como a Cryptopolitan relatou anteriormente, uma ponte Syscoin foi pausada este mês após um atacante explorar uma falha de validação para cunhar aproximadamente 5 bilhões de tokens SYS não autorizados. Esse incidente se somou a uma lista crescente de explorações de pontes em 2026.

Em fevereiro, a CrossCurve perdeu um estimado de $3 milhões após atacantes explorarem vulnerabilidades nos contratos inteligentes do protocolo, de acordo com o post-mortem da Halborn.

O caso da Secret é a evidência de que a única suposição não abordada na infraestrutura entre cadeias é suficiente para causar um incidente de drenagem total de custódia. É possível que um protocolo subjacente permaneça intacto enquanto os contratos que ficam na borda de uma ponte ainda podem expor os fundos dos usuários.

Tanto a Axelar quanto a Secret Network afirmaram que um pós-mortem completo está sendo compilado. Até lá, o canal comprometido serve como um aviso de que a segurança das pontes não diz respeito apenas ao protocolo principal, mas também a cada contrato inteligente que lida com comunicações inter-cadeias.