Axelar桥接代币在Secret Network合约漏洞中价值467万美元被盗

据Axelar 6月19日的声明，攻击者利用用于促进跨链传输的基于ICS-20的智能合约，从Secret Network中盗取了价值约467万美元的代币。

该事件暴露了连接基于Cosmos区块链的桥接基础设施的另一个弱点，但Axelar表示问题仅限于Secret侧的ICS-20智能合约，该合约用于Secret和Axelar之间的Cosmos IBC连接。该公司表示，Axelar的核心协议、其他IBC连接、其他链和其他托管账户未受影响。

被盗资产是从Axelar桥接到Secret Network的代币，Secret Network是一个基于Cosmos SDK构建的隐私区块链。据区块链安全研究公司Common Prefix称，攻击者利用了Secret上的修改版CW20-ICS20代币合约，盗取了约467万美元的七种资产，包括包装USDT、USDC、DAI、WETH、WBTC、WBNB和wstETH。

Secret侧合约漏洞导致Axelar桥接资产流失

据Binance Square总结的报道，Common Prefix表示漏洞位于部署在Secret Network上以处理传入IBC传输的修改版CW20-ICS20合约中。

该合约用于在用户通过IBC协议将代币存入Secret后，生成Axelar桥接代币的包装形式。然而，该合约未验证两个重要前提条件：代币转账是否确实通过受Axelar控制的真实IBC通道发起，以及赎回请求是否超过了托管账户中的可用余额。

由于忽略了这些前提条件，只要代币ID在白名单中，该合约就会将所有恶意的IBC数据包视为有效。

伪造的IBC数据包生成了无支撑的包装代币

根据Common Prefix的分析，攻击者创建了一个仅含单个验证者的最小化Cosmos区块链，向Secret Network打开了一个新的IBC通道，并通过该路径发送了伪造的存款数据包。

存在漏洞的合约接收了这些数据包，并在Secret上创建了无支撑的包装代币。攻击者随后通过正常的Axelar机制赎回这些包装代币，从而清空了托管账户中实际的桥接资产。

Common Prefix指出，该合约未检查代币来自哪个IBC通道。这使得通过受控链发送的恶意数据包能够被接受为正确的桥接操作。

该问题似乎存在了很长时间。Common Prefix将缺失的验证逻辑追溯至2023年的早期公开提交，并表示2026年3月进行的迁移只是将相同的逻辑延续下来，而非消除底层弱点。

结构性故障在于消息认证。系统假设上游组件会处理认证，但在攻击者的路由设置下，这一假设并未成立。因此，当通道和代币条件吻合时，伪造的消息得以通过。

紧急响应隔离了受影响的路由

Axelar表示，其应急小组在识别出该事件后，立即断开了与Secret Network的相关IBC连接。

该组织强调，Axelar的核心协议并未遭到入侵，问题仅限于Secret Network。Axelar还表示，其正在联系交易所和执法部门。

对于通过受影响路由将资产从Axelar桥接到Secret的用户来说，当前的直接问题是赎回。由于托管账户已被清空，Secret上的包装资产无法再通过该通道赎回为底层代币。

恢复工作可能比典型的公链桥接漏洞事件更为复杂，因为Secret Network默认对余额和转账进行加密。这意味着攻击者的钱包和漏洞利用交易更难通过标准的公共区块链浏览器进行检查。

桥接安全面临又一次验证测试

467万美元的损失虽小于一些最大的桥接黑客事件，但该事件仍然重要，因为它击中了熟悉的弱点：跨链消息验证。

正如Cryptopolitan此前报道，Syscoin桥本月暂停，因为攻击者利用验证缺陷铸造了约50亿枚未经授权的SYS代币。该事件增加了2026年桥接漏洞事件的不断增长列表。

据Halborn的事后分析报告，2月，CrossCurve损失了约300万美元，因为攻击者利用了该协议智能合约中的漏洞。

Secret案例证明，跨链基础设施中一个未解决的假设足以导致整个托管账户流失事件。即使底层协议未受侵害，位于桥接边缘的合约仍可能使用户资金暴露在外。

Axelar和Secret Network均表示，正在编制全面的事故后分析报告。在此之前，受污染的通道作为一个警示，表明桥接安全不仅关乎主协议，还关乎处理链间通信的每一个智能合约。