Um invasor drenou cerca de US$ 4,67 milhões de uma ponte da Secret (SCRT) ligada à Axelar (AXL), explorando um contrato com falha que cunhava tokens sem lastro a partir do nada.
Pontos-chave:
- Um contrato com falha da Secret Network permitiu que um invasor cunhasse tokens sem lastro, drenando cerca de US$ 4,67 milhões.
- O roubo permaneceu oculto por sete dias até que uma transferência fracassada revelou o escrow vazio.
- A Axelar desativou as conexões afetadas e afirmou que seu protocolo central nunca foi tocado.
Ponte da Secret Network perde milhões
O roubo começou em 10 de junho, mas passou sete dias despercebido, já que a Secret criptografa saldos por padrão e a garantia ausente não aparecia on-chain. Ele só veio à tona em 17 de junho, quando uma transferência rotineira entre cadeias falhou porque a conta de escrow tinha secado. Investigadores então rastrearam o déficit até sete saques suspeitos feitos no dia da abertura.
A Axelar confirmou a perda em 19 de junho e desativou as conexões Secret e Secret-SNIP afetadas em poucas horas, enfatizando que seu protocolo central nunca foi tocado. A equipe afirmou ter contatado corretoras e autoridades para rastrear os fundos, cerca de US$ 672.000 dos quais ainda permanecem intactos na carteira principal do atacante.
Veja também: Êxodo de ETFs de Bitcoin atinge recorde de US$ 6,35 bi, mas venda em pânico pode estar esfriando
Falha de “cunhagem infinita” enganou o contrato
O contrato vulnerável cunhava cópias embrulhadas na Secret de ativos em ponte, mas nunca verificava de qual canal um depósito realmente vinha, conferindo apenas o nome do token contra uma lista aprovada.
A empresa de pesquisa Common Prefix publicou uma análise póstuma mapeando como essa única lacuna desencadeou tudo. Como a rede oculta transferências por padrão, rastrear o invasor provou ser muito mais difícil do que seria em um livro-razão público totalmente transparente.
Para explorá-la, o atacante criou uma cadeia com um único validador, abriu um canal não autorizado e autorrepassou pacotes forjados carregando nomes de tokens copiados diretamente da allow-list.
O contrato os aceitou e cunhou tokens reais e resgatáveis, sem absolutamente nada os lastreando.
Ao resgatar esses falsos pelo canal legítimo, o invasor esvaziou o escrow em sete ativos embrulhados. A falha não era nova, e a empresa relatou que a mesma lógica estava no código desde 2023 e sobreviveu a uma migração em março de 2026. A Secret acrescentou que nenhuma auditoria externa foi solicitada quando a ponte foi construída pela primeira vez.
Pontes cross-chain continuam expostas
Os fundos roubados passaram pela Osmosis, foram trocados por Ether (ETH) em uma exchange descentralizada e espalhados por dezenas de novas carteiras antes de finalmente chegarem a três corretoras centralizadas. A reação do mercado mais amplo permaneceu contida, com o token da Axelar caindo cerca de 2,2% no dia e o da Secret permanecendo quase estável.
Ainda assim, a perda estende um ano brutal para a infraestrutura cross-chain. Pontes baseadas em modelos semelhantes de travar‑e‑cunhar continuam sendo a superfície mais explorada nas criptos, com falhas comparáveis custando mais de US$ 340 milhões em todo o setor em 2026. O saldo inclui uma violação de US$ 25 milhões na Resolv, uma perda de US$ 11 milhões na Verus e um golpe de US$ 4 milhões na IoTeX.
Leia a seguir: Bot JaredFromSubway perde US$ 7,5 mi após cair na própria armadilha