近日，一则与 Axelar Network 相关的安全事件在社区迅速发酵，一度被解读为“跨链基础设施失守”：有人在社交媒体上直接把矛头指向 Axelar 甚至 IBC 本身，担心核心跨链协议已经被攻破，引发跨链安全层面的恐慌与误读。随后，Axelar 发布官方说明试图“灭火”，明确表示 Axelar Network 与 IBC 协议本身并未遭到攻击或破坏，而是有一个与 Secret Network 相关的第三方代币智能合约出现问题——该合约基于 CW20-ICS20 分叉实现，其开发者在实现过程中移除了两项核心安全检查，被 Axelar 归类为典型的“无限铸造”（infinite mint）漏洞。围绕这份说明，本文将从最初的误解出发，沿着合约实现与责任边界一步步还原事件经过，并在此基础上评估这起风波对 Cosmos 生态跨链安全实践真正释放出的信号。
误读扩散：Axelar 和 IBC 被指攻破
在“无限铸造”细节还未被说清之前，社区最先捕捉到的只是“与 Axelar 相关的安全事件”这一模糊描述。很快，讨论焦点被简化成一句高度情绪化的追问——“Axelar 和 IBC 是不是被打穿了？”在 Cosmos 圈层内，这个说法通过社交媒体和聊天群快速发酵，一些声音直接把问题上纲到“跨链安全失守”，把原本发生在某个第三方代币智能合约里的漏洞，误读成针对 Axelar Network 或 IBC 协议本身的攻击尝试。
这种放大效应并非偶然。跨链互操作协议在 Cosmos 生态中承担的是基础设施角色，一旦被怀疑出现安全缺口，市场本能地会把风险外推到整条跨链路径的可信度上。哪怕公开信息还停留在“疑似”“不明朗”的阶段，“底层桥梁被攻破”的叙事依然更容易占据上风，恐慌从具体合约蔓延到整套跨链架构。在这种语境下，Axelar 随后发布的官方说明起到的是“急刹车”的作用：一方面直言“社区对事件存在一定误解”，另一方面明确写出 Axelar Network 和 IBC 协议本身并未被攻击或破坏，将舆论从“跨链基础设施失守”的宏大故事，拉回到“第三方合约实现失误”这个更具体、也更可被界定责任边界的层面。
真正漏洞：CW20-ICS20 分叉删安全闸门
顺着 Axelar 的说明往下看，“真正的洞”很快被重新定位：出问题的根本不是 Axelar 的跨链基础设施，而是一份第三方代币智能合约。Axelar 明确写道，遭利用的代币合约并非由 Axelar Network 开发、部署或维护，而是基于 Cosmos 生态常见的 CW20-ICS20 实现做出的一个分叉版本。也就是说，跨链通道在规则层面按预期工作，但接在通道末端的那只“水龙头”——具体代币合约——被别人改造过了。
这份分叉合约的关键改动，是开发者移除了原实现中的两项核心安全检查。Axelar 将因此暴露的问题归类为“无限铸造”（infinite mint）漏洞：在正常设计中，安全检查会像闸门一样，对“什么时候可以铸币、铸多少币”进行约束，确保链上每一枚新代币都有对应的跨链资产或状态作为支撑；一旦这些闸门被删除，合约在逻辑上就可能失去对铸币行为的边界控制，为攻击者构造出不受限的铸币路径留下空间。在这样的结构下，即便跨链协议本身没有被攻破，挂在上面的不合规分叉合约依然可能单点失守，而这部分风险和后果，理论上应当首先由分叉合约的开发和维护方承担。
无限铸造阴影下的跨链代币
从用户视角看，一枚通过 Axelar 或 IBC 转来的链上资产，往往被简单理解为“跨链协议发行的代币”，但在结构上，这类跨链映射资产本质上仍是源链合约规则的投影。Axelar 在说明中把本次问题界定为第三方代币存在“无限铸造”漏洞，意味着只要源头的 CW20 合约在逻辑上允许无限增发，那么挂在跨链通道上的对应映射，就等于把这种失控的供应关系同步扩散到其他链上。ICS20 负责的是 IBC 语境下的跨链资产转移，而不是替代业务合约进行风控审查，当源链的代币标准被篡改了关键约束，跨链协议也很难在消息层面“替用户挡刀”。
CW20 是 Cosmos 生态中最常见的代币标准之一，通常与负责跨链转移的 ICS20 组合使用，构成“本地发行 + IBC 流通”的基础模块。Axelar 披露，此次被利用的正是一个基于 CW20-ICS20 的分叉版本，其开发者在实现中移除了两项核心安全检查，直接打开了“无限铸造”的闸门，而 Axelar 和 IBC 协议本身并未被报告存在安全缺陷。对所有复用、分叉类似合约的项目来说，这是一记清晰的警钟：跨链并不会自动抬升安全等级，相反，一旦在看似“标准”的 CW20-ICS20 模板上随意改动关键校验逻辑，整条通过 IBC 或其他跨链通道延展出去的代币路径，都会被这个最薄弱的源头合约拖入同一场风险之中。
Secret 事件折射 Cosmos 安全弱点
在 Axelar 的官方说明里，Secret Network 被明确点名为“与事件相关”的一方，但表述就止步于此：说明中没有交代 Secret Network 究竟是受影响链、合约部署方，还是仅仅处在跨链路径上的某个环节。同一份说明又反复强调，问题源自一个第三方代币智能合约，而该合约并非由 Axelar 开发、部署或维护，这让“Secret 在事件中的具体角色”刻意保持在模糊地带。就目前的公开信息而言，我们只能确认这起“无限铸造”漏洞和 Secret Network 存在链上关联，而无法、也不应该据此推演 Secret 的责任归属或安全水平变化。
真正被点亮的，是 Cosmos 生态内部那条更隐蔽的风险链路：这次遭利用的合约，是基于 CW20-ICS20 实现的一个分叉版本，开发者在复用标准模板时移除了两项核心安全检查，最终演变成可被利用的铸币缺口。据此往外看，一旦类似的分叉逻辑在各条 Cosmos 生态链上被第三方团队自行复制、魔改，却缺乏与原版同等级别的审计与审查，表面上看是沿用“成熟规范”，实质上却可能在链间通道上接入一个个未被充分验证的高危模块。Axelar 这次刻意克制地描述 Secret Network，只留下“相关而未定性”的空间，也等于提醒市场：与其急于寻找单一责任方，不如回头审视整个 Cosmos 里那些基于 CW20-ICS20 的分叉合约和缺位的安全流程，才是这类事故真正反复出现的土壤。
跨链协议如何避免被误伤
把整起风波拉回起点，这次事件给出的核心答案其实很克制：Axelar 多次重申，Axelar Network 与 IBC 协议本身未被攻破，真正失守的是一个第三方基于 CW20-ICS20 的分叉合约，开发者移除了两项关键安全检查，才为被归类为“无限铸造”的问题埋下伏笔，后续舆论却因为早期信息模糊，把矛头指向跨链基础设施本身，放大了不必要的系统性恐慌。对任何跨链协议而言，这都是一次反向教材——不仅要从技术上隔离第三方合约风险，更要在生态运营层面，把“官方合约”和“分叉实现”的边界标注得足够醒目，对分叉版本的安全责任、审核范围和适用场景提前说清楚，否则在事故发生时，谁写的代码、谁维护、谁担责，很容易在链间通道里搅成一团。接下来值得观察的，是 Axelar 是否会在这次说明之后，进一步推动更细化的责任划分与安全最佳实践指引，例如就类似 CW20-ICS20 分叉的使用边界给出更明确的话语，而社区与开发者也需要在信息层面“上线自我审计”：遇到跨链相关警报时，先分辨问题出在跨链网络、底层协议还是某个资产合约，再决定要不要放大传播，这样才能在下一次类似事件里，既不轻信乐观叙事，也不再因为误读而让无辜的基础设施再次被卷入恐慌。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到support@aicoin.com，本平台相关工作人员将会进行核查。
