Um invasor drenou cerca de US$ 4,67 milhões de uma bridge da Secret (SCRT) ligada à Axelar (AXL), explorando um contrato com falha que cunhava tokens sem lastro a partir do nada.
Pontos-chave:
- Um contrato com falha na Secret Network permitiu que um invasor cunhasse tokens sem lastro, drenando cerca de US$ 4,67 milhões.
- O roubo ficou oculto por sete dias, até que uma transferência fracassada expôs o escrow vazio.
- A Axelar desativou as conexões afetadas e afirmou que seu protocolo central não foi tocado.
Bridge da Secret Network perde milhões
O roubo começou em 10 de junho, mas passou sete dias despercebido, já que a Secret criptografa saldos por padrão e a garantia ausente não aparecia on-chain. Ele só veio à tona em 17 de junho, quando uma transferência rotineira entre cadeias falhou porque a conta de escrow havia secado. Investigadores então rastrearam o déficit até sete saques suspeitos feitos no dia da abertura.
A Axelar confirmou a perda em 19 de junho e desativou as conexões Secret e Secret-SNIP afetadas em poucas horas, enfatizando que seu protocolo central não foi tocado. A equipe afirmou ter contatado corretoras e autoridades para rastrear os fundos, dos quais cerca de US$ 672.000 ainda permanecem intocados na carteira principal do invasor.
Veja também: Êxodo de ETFs de Bitcoin atinge recorde de US$ 6,35 bilhões, mas venda de pânico pode estar arrefecendo
Falha de cunhagem infinita enganou o contrato
O contrato vulnerável cunhava versões “wrapped” na Secret de ativos bridgeados, mas nunca verificava de qual canal um depósito realmente vinha, conferindo apenas o nome do token contra uma lista aprovada.
A empresa de pesquisa Common Prefix publicou uma análise pós-morte mostrando como essa única lacuna desfez tudo. Como a rede oculta transferências por padrão, rastrear o invasor se mostrou muito mais difícil do que seria em um livro-razão público totalmente transparente.
Para explorar a falha, o invasor criou uma cadeia com um único validador, abriu um canal não autorizado e fez o próprio relay de pacotes falsificados carregando nomes de tokens copiados diretamente da allow-list.
O contrato os aceitou e cunhou tokens reais e resgatáveis sem absolutamente nenhum lastro por trás.
Resgatar esses falsos pelo canal legítimo então esvaziou o escrow em sete ativos wrapped. A falha não era nova e a empresa relatou que a mesma lógica estava no código desde 2023 e sobreviveu a uma migração em março de 2026. A Secret acrescentou que nenhuma auditoria externa foi solicitada quando a bridge foi construída pela primeira vez.
Bridges cross-chain continuam expostas
Os fundos roubados passaram pela Osmosis, foram trocados por Ether (ETH) em uma exchange descentralizada e se dispersaram por dezenas de novas carteiras antes de finalmente chegar a três corretoras centralizadas. A reação mais ampla do mercado permaneceu contida, com o token da Axelar caindo cerca de 2,2% no dia e o da Secret ficando praticamente estável.
Ainda assim, a perda estende um ano brutal para a infraestrutura cross-chain. Bridges baseadas em modelos semelhantes de bloqueio-e-cunhagem continuam sendo a superfície mais explorada nas criptomoedas, com falhas comparáveis custando mais de US$ 340 milhões em todo o setor em 2026. O saldo inclui uma violação de US$ 25 milhões na Resolv, uma perda de US$ 11 milhões na Verus e um impacto de US$ 4 milhões na IoTeX.
Leia a seguir: Bot JaredFromSubway perde US$ 7,5 milhões após cair na própria armadilha