Ein Angreifer entleerte am 14. Juni mehr als 2,1 Millionen Dollar aus Aztec Connect, indem er eine Verifizierungslücke in einem Privacy-Protokoll ausnutzte, das vor drei Jahren stillgelegt wurde.
Wichtigste Punkte:
- Ein Angreifer zog am 14. Juni rund 2,19 Millionen Dollar aus Aztec Connect ab, drei Jahre nachdem das Protokoll außer Betrieb genommen wurde.
- Der Exploit missbrauchte eine Lücke in der Proof-Verifizierung des Vertrags, wodurch Abhebungen auf Guthaben zugreifen konnten, denen keine Einzahlungen zugrunde lagen.
- Aztec Labs erklärte, dass es keine Admin-Schlüssel besitzt und die unveränderlichen Verträge weder pausieren noch upgraden kann.
CertiK meldet Abzug bei Aztec Connect
CertiK erkannte die verdächtigen Aktivitäten innerhalb weniger Stunden nach dem Angriff. Es flagged einen Abzug aus dem RollupProcessorV3-Vertrag auf Ethereum, der Kernkomponente der veralteten Bridge. Das Sicherheitsunternehmen BlockSec bestätigte kurz darauf denselben Vorfall und vermutete zunächst eine fehlende Zugriffskontrolle im Code.
Die Schwachstelle lag darin, wie der Vertrag die Proof-Daten überprüfte: Ein Pfad verifizierte den vollständigen Transaktionssatz, während die Settlement-Logik dieselben Daten anders read auswertete. Diese Diskrepanz ermöglichte es dem Angreifer, Wert zu gutschreiben, ohne dass etwas dahinterstand, wodurch Guthaben entstanden, die nie durch Einzahlungen gedeckt waren.
Der Angreifer setzte den Trick in einem einzigen Durchgang über sieben Assets ein. Die Beute umfasste 909 Ether (ETH), rund 270.000 Dai (DAI), 167 Wrapped Staked Ether und einige renditebringende Token. On-Chain-Daten verfolgten die Gelder zu einer frischen Wallet, die zuvor über einen Mixing-Service finanziert worden war – ein Hinweis darauf, dass der Angriff lange im Voraus vorbereitet wurde.
Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs besitzt keine Admin-Schlüssel
Die Aztec Foundation bestätigte den Vorfall kurz nach den ersten Warnungen und stressed, dass die Sicherheitslücke den AZTEC (AZTEC)-Token und das aktive Aztec-Netzwerk unberührt lässt. Der Token reagierte kaum und wurde den Tag über in der Nähe von einem Cent gehandelt, während die stillgelegte Bridge, die 2022 gestartet worden war, seit März 2023 inaktiv ist.
Aztec Labs erklärte, man könne nicht eingreifen. Die veralteten Verträge besitzen keine Admin-Schlüssel, sodass niemand sie pausieren oder upgraden kann, und Entwickler Param explained, dass der Code vollständig unveränderlich wurde, sobald die Bridge heruntergefahren war. Ermittler verfolgen die gestohlenen Gelder weiterhin über das Netzwerk.
Verlassene DeFi-Verträge bleiben riskant
Der Vorfall unterstreicht ein Problem, das die Branche immer wieder neu lernt: Tote Protokolle enthalten oft noch echte Gelder, lange nachdem ihre Teams weitergezogen sind. Unveränderlicher Code kann nach dem Auftreten einer Schwachstelle nicht mehr gepatcht werden, wodurch diese verlassenen Systeme – mittlerweile häufig Zombie-Verträge genannt – über Jahre hinweg angreifbar bleiben.
Der Abzug markiert den vorläufigen Höhepunkt einer schwierigen Phase für die On-Chain-Sicherheit. Allein in diesem Monat haben Exploits rund 44 Millionen Dollar über mindestens ein Dutzend Vorfälle gekostet, wobei in den letzten Wochen mehrere kleinere Protokolle getroffen wurden. Diese Summe folgt auf einen brutalen April, in dem zwei Angriffe die monatlichen Verluste auf über 625 Millionen Dollar trieben und einen Rekord bei der Anzahl der Vorfälle aufstellten.
Read Next: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test