Ya está disponible el post-mortem secreto. La historia real: las personas que modificaron ese puente no entendían cómo funcionaba su propia autenticación. Nunca se pidió a ningún auditor externo que lo verificara. Y durante tres años, ningún atacante lo comprendió tampoco. El puente resistió hasta que (mi apuesta) una IA finalmente leyó el contrato y vio lo que todos los humanos habían pasado por alto. El error es casi tonto en retrospectiva. El contrato comenzó como un puente de depósito, como una consigna: solo devolvía un abrigo que alguien había registrado previamente, por lo que la pregunta “¿es este depósito real?” se respondía gratis mediante la lógica del ticket. Luego se bifurcó para acuñar tokens de Axelar en su lugar. Los tokens acuñados nunca se registraron, por lo que la lógica del ticket ya no aplicaba y se eliminó. Quien lo hizo no se dio cuenta de que esas funciones exactas eran lo único que verificaba desde qué cadena provenía el depósito. La lista de permitidos que las reemplazó verificaba qué token podía acuñarse, pero nunca su origen. Así que la puerta quedó abierta desde enero de 2023. Luego, alguien inició una cadena falsa, nombró un activo real como USDT, y acuñó $4,67 millones de la nada. La lección no trata realmente sobre Secret. Durante tres años, encontrar este error requería a un humano dispuesto a leer todo el contrato, y nadie lo hizo. Esa barrera ha desaparecido. Una IA lo lee completo, detalladamente, por centavos. Por lo tanto, si tu contrato es público y no ha pasado por una auditoría de IA, asume que la IA del atacante ya lo está leyendo. Audita el tuyo primero.
