Un hacker drenó 4,67 millones de dólares de la Axelar Bridge de Secret Network usando un canal IBC falso el 10 de junio

Un atacante explotó una falla de validación de canal faltante en el contrato puente modificado CW20-ICS20 de Secret Network para drenar aproximadamente 4,67 millones de dólares el 10 de junio. El exploit no se detectó hasta el 17 de junio, cuando una transferencia entre cadenas falló debido a que los activos en escrow quedaron agotados. El atacante usó una cadena Cosmos de un solo validador para falsificar depósitos y acuñar tokens envueltos de Secret sin activos reales que los respalden, afectando a siete tokens, incluidos saUSDT, saUSDC y saDAI.

La vulnerabilidad existía desde el despliegue inicial del contrato a principios de 2023 y no se abordó en una migración del 5 de marzo. Secret Network atribuyó la detección tardía a los saldos cifrados en la red, que impedían el monitoreo visible del colateral faltante. Los fondos robados se movieron a Axelar, se enrutaron a través de Osmosis hacia Ethereum y se cambiaron por ether mediante CoW Protocol antes de dividirse en depósitos en KuCoin, ChangeNow y HitBTC. Aproximadamente 672.000 dólares permanecieron en la cartera Axelar del atacante. El comité de emergencia de Axelar deshabilitó las conexiones afectadas y dijo que su protocolo central no fue comprometido.