Falha de infinite mint drena US$ 4,67 milhões do bridge Axelar da Secret Network

A falha que drenou US$ 4,67 milhões do bridge da Secret Network não foi um erro recente, mas sim uma vulnerabilidade escondida desde março de 2023, quando o contrato CW20-ICS20 foi implantado pela primeira vez. Dois checks de validação essenciais, um que confirmava se os tokens recebidos vinham do canal correto e outro que limitava saques ao valor real em escrow, foram simplesmente comentados no código e nunca revisitados. Mesmo após uma atualização de bytecode em março de 2026, que adicionou novas funcionalidades, essas verificações permaneceram desativadas. Isso transformou o bridge em uma porta aberta: qualquer chain Cosmos podia criar um canal IBC, enviar pacotes falsos com denominações válidas e cunhar tokens wrapped sem lastro, enquanto a criptografia padrão da Secret Network escondia o desequilíbrio das reservas.

O atacante usou essa brecha por sete dias, movendo ativos como saUSDT, saWBTC e saWETH para fora do bridge sem disparar alertas. A ausência de monitoramento ativo de liquidez on-chain permitiu que o roubo só fosse descoberto quando um usuário tentou fazer uma transferência e o escrow ficou vazio. O incidente expõe um risco sistêmico em bridges que confiam em contratos de terceiros sem auditoria contínua, especialmente quando a infraestrutura de privacidade impede a transparência necessária para detecção precoce.

Esse ataque não é só sobre perda financeira, é um alerta sobre como bridges descentralizados ainda operam em zonas cinzentas de responsabilidade. A Secret Network não desenvolveu o contrato, mas o hospedou. A Axelar não o mantém, mas o integra. Ninguém assumiu a responsabilidade por vigiar o código, e o resultado foi um dano coletivo. O fato de o ataque ter sido possível por quase dois anos mostra que a indústria ainda prioriza velocidade de integração sobre segurança contínua. Para projetos que dependem de cross-chain, isso significa que mesmo contratos bem documentados podem se tornar armadilhas se não forem auditados periodicamente. A suspensão do bridge deixa a Secret Network isolada, e a recuperação dos ativos depende agora de exchanges e autoridades, não de mecanismos autônomos.