Un attaccante ha drenato circa 4,67 milioni di dollari da un bridge di Secret (SCRT) collegato ad Axelar (AXL), sfruttando un contratto difettoso che ha mintato token non garantiti dal nulla.
Punti chiave:
- Un contratto difettoso di Secret Network ha permesso a un attaccante di mintare token senza copertura, drenando circa 4,67 milioni di dollari.
- Il furto è rimasto nascosto per sette giorni finché un trasferimento fallito non ha rivelato l’escrow vuoto.
- Axelar ha disabilitato le connessioni interessate e ha dichiarato che il suo protocollo core non è mai stato toccato.
Il bridge di Secret Network perde milioni
Il furto è iniziato il 10 giugno ma è rimasto inosservato per sette giorni, poiché Secret cifra i saldi di default e la collateralizzazione mancante non compariva on‑chain. È emerso solo il 17 giugno, quando un normale trasferimento cross‑chain è fallito perché l’account di escrow si era prosciugato. Gli investigatori hanno poi ricondotto il deficit a sette prelievi sospetti effettuati il giorno di apertura.
Axelar ha confermato la perdita il 19 giugno e ha disabilitato nel giro di poche ore le connessioni Secret e Secret‑SNIP interessate, sottolineando che il suo protocollo core non è mai stato toccato. Il team ha affermato di aver contattato exchange e forze dell’ordine per tracciare i fondi, circa 672.000 dollari dei quali si trovano ancora intatti nel wallet principale dell’attaccante.
Da leggere anche: Esodo dagli ETF su Bitcoin tocca il record di 6,35 miliardi di dollari, ma il panic selling potrebbe rallentare
Il bug di mint infinito ha ingannato il contratto
Il contratto vulnerabile mintava copie wrappate su Secret degli asset bridgiati, ma non verificava mai da quale canale provenisse davvero un deposito, limitandosi ad abbinare solo il nome del token a una lista approvata.
La società di ricerca Common Prefix ha pubblicato un post‑mortem che mostra come quella singola lacuna abbia fatto crollare tutto. Poiché la rete nasconde i trasferimenti di default, tracciare l’attaccante si è rivelato molto più difficile di quanto sarebbe stato su un registro pubblico completamente trasparente.
Per sfruttare il bug, l’attaccante ha avviato una chain con un solo validatore, aperto un canale non autorizzato e auto‑inoltrato pacchetti falsificati che trasportavano nomi di token copiati direttamente dalla allow‑list.
Il contratto li ha accettati e ha mintato token reali e riscattabili senza alcuna copertura a sostegno.
Riscattando quei token falsi tramite il canale genuino è stato poi svuotato l’escrow su sette asset wrappati. Il difetto non era nuovo, e la società ha riportato che la stessa logica era presente nel codice dal 2023 ed è sopravvissuta a una migrazione del marzo 2026. Secret ha aggiunto che non era stato richiesto alcun audit esterno quando il bridge è stato costruito per la prima volta.
I bridge cross‑chain restano esposti
I fondi rubati sono transitati su Osmosis, convertiti in Ether (ETH) su un exchange decentralizzato e dispersi in decine di nuovi wallet prima di arrivare infine a tre exchange centralizzati. La reazione del mercato più ampio è rimasta contenuta, con il token di Axelar in calo di circa il 2,2% nella giornata e Secret quasi invariato.
Ciononostante, la perdita prolunga un anno durissimo per l’infrastruttura cross‑chain. I bridge basati su design di tipo lock‑and‑mint restano la superficie più sfruttata nel mondo crypto, con vulnerabilità simili che sono costate oltre 340 milioni di dollari nel 2026 a livello di settore. Il conto include una violazione da 25 milioni di dollari su Resolv, una perdita da 11 milioni su Verus e un danno da 4 milioni su IoTeX.
Da leggere dopo: Il bot JaredFromSubway perde 7,5 milioni di dollari cadendo nella sua stessa trappola