Secret Network Axelar Bridge Infinite-Mint Exploit

Am 10. Juni 2026 wurde die Bridge zwischen Secret Network und Axelar um etwa 4,67 Millionen US-Dollar erleichtert. Der Angriff blieb sieben Tage lang unbemerkt und fiel erst am 17. Juni auf, als eine fehlgeschlagene Cross-Chain-Überweisung offenbarte, dass das die gebrückten Assets deckende Axelar-Treuhandkonto geleert worden war.

Was geschah

Der Bridge-Vertrag von Secret Network prägte Secret-gewrappte Versionen der über Axelar gebrückten Assets — bekannt als saTokens — prüfte aber nicht, über welchen IBC-Kanal ein eingehender Transfer tatsächlich eintraf. Der Angreifer richtete eine Cosmos-Chain mit einem einzigen Validator ein, öffnete einen Kanal zum Bridge-Vertrag und leitete selbst gefälschte Pakete weiter, die Token-Bezeichnungen aus der Allow-List des Vertrags trugen. Da der Vertrag der Bezeichnung vertraute, ohne den Ursprungskanal zu prüfen, prägte er echte saTokens ohne jegliche Deckung. Anschließend löste der Angreifer diese ungedeckten Token gegen rund 4,67 Mio. USD an echten Assets ein — ein klassisches Infinite-Mint-Versagen.

Folgen

Die gestohlenen Assets wurden über Axelar abgezogen, mittels automatischem Packet-Forwarding über Osmosis geleitet, nach Ethereum gebrückt und größtenteils auf CoW Protocol in Ether getauscht. Die Erlöse wurden auf rund 30 Transfers an frische Wallets aufgeteilt, bevor sie in Einzahlungsadressen bei KuCoin, ChangeNow und HitBTC landeten. Das Notfallkomitee von Axelar deaktivierte die Secret- und Secret-SNIP-Verbindungen, nachdem der Abfluss entdeckt worden war, und der Cross-Chain-Router Squid entfernte Secret aus seinem Frontend. Axelar erklärte, sein Kernprotokoll und die übrigen Verbindungen seien nicht betroffen — der Verlust beschränkte sich auf den Secret-Network-Bridge-Vertrag.

Warum es wichtig ist

Der Secret-Network-Exploit ist ein Lehrbuchbeispiel für ein IBC-Vertrauensgrenzen-Versagen: Eine Bridge, die prüfte, welches Token ankam, aber nicht, woher es kam, erlaubte es einem Angreifer, Einzahlungen von einer von ihm kontrollierten Chain zu fabrizieren. Es spiegelt dieselben Muster gefälschter Nachrichten und ungedeckter Prägung wider, die bei Gravity Bridge, Syscoin und Verus zu sehen waren. Es unterstreicht auch eine wiederkehrende Erkennungslücke — Verluste, die sich tagelang verbergen, weil Indexer und Treuhandsalden zu langsam abgeglichen werden, dieselbe Überwachungsschwäche, die die Entdeckung mehrerer Cosmos-Vorfälle im Jahr 2026 verzögerte.