Secret Network Bridge durch Infinite Mint Bug ausgenutzt

Secret Network ist von einem neuen Bridge-Exploit betroffen. Laut Cointelegraph und technischer Analyse von Common Prefix nutzte ein Angreifer einen Infinite Mint-Fehler in einem modifizierten CW20-ICS20-Smart-Contract aus und zog rund 4,67 Millionen US-Dollar ab. Betroffen waren über Axelar zu Secret Network gebridgte Assets. Axelars Kernprotokoll soll nach bisherigem Stand nicht kompromittiert worden sein.

Der Fall ist für Krypto-Nutzer relevant, weil er der nächste Bridge-Sicherheitsfall innerhalb weniger Tage ist. Nach dem Taiko-Vorfall zeigt auch der Secret-Network-Exploit, wie anfällig Cross-Chain-Infrastruktur bleibt. Besonders kritisch ist hier, dass nicht ein normaler Transfer fehlschlug, sondern nicht gedeckte Wrapped Tokens geprägt und anschließend gegen echte Assets eingelöst wurden.

Secret Network Bridge prägte nicht gedeckte Wrapped Tokens

Der Angriff zielte auf die Verbindung zwischen Axelar und Secret Network. Über solche Bridges können Nutzer Assets zwischen unterschiedlichen Blockchains bewegen. Im Normalfall werden Token auf einer Seite gesperrt und auf der anderen Seite als Wrapped Token ausgegeben. Diese Logik funktioniert nur, wenn die Bridge exakt prüft, woher ein eingehendes IBC-Paket stammt und ob dafür wirklich Sicherheiten hinterlegt sind.

Genau an dieser Stelle lag laut Common Prefix der Fehler. Der betroffene Smart Contract auf Secret Network prüfte die Herkunft eines eingehenden IBC-Pakets nicht korrekt. Ein Angreifer konnte dadurch eine eigene Cosmos-Kette mit einem Validator aufsetzen, einen eigenen Kanal öffnen und gefälschte Einzahlungen an den Secret-Vertrag senden. Der Vertrag prägte daraufhin echte Secret-wrapped Axelar Assets, obwohl keine entsprechenden Werte hinterlegt waren.

Diese unbesicherten Token wurden anschließend über den legitimen Axelar-Kanal zurückgeführt. Dadurch konnten echte Assets aus dem Escrow auf Axelar abgezogen werden. Laut Analyse betraf der Abfluss sieben Secret-wrapped Assets, darunter saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB und sawstETH.

PunktStand laut AnalysenEinordnung
Schadenrund 4,67 Millionen US-Dollarrelevant für Bridge-Nutzer und DeFi-Anleger
AngriffstypInfinite Mint durch fehlerhafte IBC-Prüfungnicht gedeckte Token konnten geprägt werden
Betroffener Vertragmodifizierter CW20-ICS20-Vertrag auf SecretFehler lag auf Secret-Seite der Verbindung
Betroffene AssetssaUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB, sawstETHbetrifft gebridgte Axelar-Assets auf Secret
Axelar-Kernprotokolllaut Analyse nicht betroffenbegrenzt den Systemschaden
EntdeckungExploit am 10. Juni, entdeckt am 19. Junilange Erkennungszeit erhöht Risiko
SofortmaßnahmeSecret- und Secret-SNIP-Verbindungen deaktiviertsoll weitere unautorisierte Transfers verhindern

Axelar war laut Analyse nicht kompromittiert

Die wichtigste Abgrenzung betrifft Axelar. Nach bisheriger Analyse war nicht das Axelar-Kernprotokoll kompromittiert. Auch andere IBC-Verbindungen, andere Chains, native Secret-Assets und sonstige Escrow-Konten sollen nicht betroffen gewesen sein. Der Schaden konzentrierte sich auf die Secret-seitige Bridge-Logik für Axelar-wrapped Assets.

Axelars Emergency Committee deaktivierte nach der Entdeckung die Verbindungen zwischen Secret und Axelar sowie Secret-SNIP. Damit sollten weitere nicht autorisierte Transfers verhindert werden. Laut Berichten koordiniert das Team außerdem mit Börsen und Strafverfolgungsbehörden, um gestohlene Gelder nachzuverfolgen. Common Prefix schreibt, dass ein Teil der Assets über Ethereum bewegt und in ETH umgewandelt wurde.

Für Nutzer ist die Verzögerung besonders heikel. Der Exploit soll bereits am 10. Juni 2026 stattgefunden haben. Die Entdeckung und öffentliche Einordnung folgten laut Analyse erst am 19. Juni. Bei Privacy-Chains wie Secret Network ist die Nachverfolgung zusätzlich schwieriger, weil Transaktionen und Salden stärker abgeschirmt sind als auf vollständig transparenten Chains.

Der Fall zeigt das Kernproblem vieler Bridges. Es reicht nicht, dass eine Blockchain selbst funktioniert. Die Verbindung zwischen zwei Chains muss Herkunft, Kanal, Denomination, Sicherheiten und Rückzahlung korrekt abbilden. Wenn ein Contract Token prägt, ohne den Ursprung des Pakets sauber zu prüfen, entsteht ein klassischer Infinite-Mint-Fall: Angreifer erzeugen Vermögenswerte aus dem Nichts und tauschen sie gegen reale Sicherheiten.

Für DeFi-Nutzer im DACH-Raum bleibt die praktische Konsequenz klar. Wer Assets auf Secret Network, in Axelar-Bridges oder in Anwendungen mit betroffenen saTokens hält, sollte offizielle Statusmeldungen prüfen und keine Recovery-Links aus Chats, Suchanzeigen oder Social-Media-Antworten öffnen. Bei Bridge-Vorfällen tauchen häufig gefälschte Rückerstattungsseiten und Wallet-Drainer auf.

Der zweite Bridge-Fall am selben Tag verstärkt den Sicherheitsdruck im DeFi-Sektor. Taiko stoppte nach einem separaten Bridge-Exploit sogar die Blockproduktion seines Layer-2-Netzwerks. Beim Secret-Network-Vorfall blieb der Schaden nach bisherigem Stand stärker auf eine konkrete Verbindung begrenzt. Beide Fälle zeigen aber denselben Trend: Cross-Chain-Bridges bleiben 2026 einer der empfindlichsten Angriffspunkte im Krypto-Markt.