Secret Network合约漏洞致467万美元Axelar桥接代币被盗_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Secret Network合约漏洞致467万美元Axelar桥接代币被盗

2026-06-20 14:31:24

Secret Network 遭攻击，约 467 万美元代币被窃取

根据 6 月 19 日的一份声明，一名攻击者利用了一个基于 ICS-20 的智能合约（该合约用于促进跨链转账），从 Secret Network 中窃取了价值约 467 万美元的代币。

此次事件暴露了连接 Cosmos 生态区块链的桥接基础设施中的另一个弱点。但 Axelar 表示，问题仅局限于 Secret 端用于 Cosmos IBC 连接（连接 Secret 与 Axelar）的 ICS-20 智能合约。该公司称，Axelar 的核心协议、其他 IBC 连接、其他链以及其他托管账户均未受到影响。

被窃取的资产是从 Axelar 桥接到 Secret Network 的代币。Secret Network 是一条注重隐私的区块链，使用 Cosmos SDK 构建。据区块链安全研究机构 Common Prefix 称，攻击者利用了 Secret 上经过修改的 CW20-ICS20 代币合约，窃取了约 467 万美元，涉及七种资产，包括封装版 USDT、USDC、DAI、WETH、WBTC、WBNB 和 wstETH。

Secret 端合约漏洞导致 Axelar 桥接资产被盗

Common Prefix 表示，漏洞存在于 Secret Network 上部署的一个经过修改的 CW20-ICS20 合约中，该合约用于处理传入的 IBC 转账。该合约用于在用户通过 IBC 协议将代币存入 Secret 后，生成 Axelar 桥接代币的封装版本。然而，该合约并未验证两个重要的前提条件：一是代币转账是否确实通过由 Axelar 控制的真实 IBC 通道发起；二是赎回请求是否超出了托管账户中可用的资产数量。

由于忽略了这些前提条件，只要代币 ID 在白名单中，该合约就会将所有恶意的 IBC 数据包视为有效。

伪造的 IBC 数据包创建了无担保的封装代币

根据 Common Prefix 的分析，攻击者创建了一条仅有一个验证者的最小化 Cosmos 区块链，打开了一条通往 Secret Network 的新 IBC 通道，并通过该路由发送了伪造的存款数据包。存在漏洞的合约接收了这些数据包，并在 Secret 上创建了无担保的封装代币。随后，攻击者通过正常的 Axelar 机制赎回这些封装代币，从而清空了持有真实桥接资产的托管账户。

Common Prefix 称，该合约并未检查代币来自哪个 IBC 通道。这使得通过攻击者控制的链发送的恶意数据包能够被当作正确的桥接操作加以接受。

该问题似乎已经存在了相当长的时间。Common Prefix 将缺失验证的问题追溯至 2023 年早期的公开提交记录，并指出 2026 年 3 月的一次迁移并未移除这一根本弱点，而是将相同的逻辑延续了下来。

结构上的失败在于消息身份验证。系统假设上游组件会处理身份验证，但在攻击者的路由设置下，这一假设并不成立。结果，只要通道和代币条件吻合，伪造的消息就能通过。

应急响应：隔离受影响路由

Axelar 表示，其应急工作组在识别到事件后，立即断开了与 Secret Network 相关的 IBC 连接。该团队强调，Axelar 的核心协议并未遭到破坏，问题仅限于 Secret Network。Axelar 还表示正在与交易所和执法部门联系。

对于通过受影响路由将资产从 Axelar 桥接到 Secret 的用户而言，当前面临的是赎回问题。由于托管账户已被清空，Secret 上的封装资产无法再通过该通道赎回为底层代币。

恢复工作可能比典型的公链桥接攻击更加复杂，因为 Secret Network 默认对余额和转账进行加密。这意味着攻击者的钱包和攻击交易更难通过标准公共区块浏览器进行审查。

桥接安全再受验证考验

467 万美元的损失虽不及一些大型桥接攻击，但此次事件仍然值得关注，因为它触及了一个常见的薄弱点：跨链消息验证。据报道，本月早些时候，Syscoin 桥接因攻击者利用验证漏洞铸造了约 50 亿枚未经授权的 SYS 代币而暂停。该事件进一步增加了 2026 年桥接攻击的案例数量。2 月份，据一份事后分析报告，攻击者利用了协议智能合约中的漏洞，导致 CrossCurve 损失约 300 万美元。

Secret 事件表明，跨链基础设施中一个未经处理的前提假设，就足以引发整个托管账户被掏空的灾难。底层协议可能本身未遭入侵，但位于桥接边缘的合约仍可能让用户资金暴露于风险之中。

Axelar 和 Secret Network 均表示正在编写完整的事后分析报告。在此之前，被攻破的通道是一个警示：桥接安全不仅关乎核心协议，也关乎每一个处理跨链通信的智能合约。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文