Un atacante drenó más de 2,1 millones de dólares de Aztec Connect el 14 de junio, explotando un fallo de verificación en un protocolo de privacidad que se cerró hace tres años.
Puntos clave:
- Un atacante extrajo aproximadamente 2,19 millones de dólares de Aztec Connect el 14 de junio, tres años después de que el protocolo fuera retirado.
- El exploit aprovechó una brecha en la verificación de pruebas del contrato, permitiendo que los retiros usaran saldos que no estaban respaldados por ningún depósito.
- Aztec Labs dijo que no posee claves de administrador y no puede pausar ni actualizar los contratos inmutables.
CertiK detecta el drenaje de Aztec Connect
CertiK detectó la actividad sospechosa pocas horas después del ataque. Lo flagged como un drenaje desde el contrato RollupProcessorV3 en Ethereum, el componente central del puente obsoleto. La firma de seguridad BlockSec confirmó la misma brecha poco después y sospechó inicialmente de un control de acceso ausente en el código.
La debilidad residía en cómo el contrato comprobaba los datos de la prueba: una ruta verificaba todo el conjunto de transacciones mientras que la lógica de liquidación read esos mismos datos de forma diferente. La discrepancia permitió al atacante acreditar valor sin nada que lo respaldara, generando saldos que ningún depósito había soportado.
El atacante ejecutó el truco sobre siete activos en una sola operación. El botín incluyó 909 Ether (ETH), aproximadamente 270.000 Dai (DAI), 167 wrapped staked Ether y un puñado de tokens generadores de rendimiento. Los registros on-chain rastrearon los fondos hasta una billetera nueva financiada previamente a través de un servicio de mezcla, una señal de que el movimiento se preparó con mucha antelación.
Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs no tiene claves de administrador
La Aztec Foundation confirmó el incidente poco después de que saltara la alarma y stressed que la brecha no afecta al token AZTEC (AZTEC) ni a la red Aztec activa. El token casi no reaccionó, cotizando cerca de un centavo durante el día, mientras que el puente retirado, lanzado por primera vez en 2022, ha permanecido inactivo desde marzo de 2023.
Aztec Labs señaló que no podía intervenir. Los contratos obsoletos no tienen claves de administrador, por lo que nadie puede pausarlos ni actualizarlos, y el desarrollador Param explained que el código se volvió completamente inmutable una vez que el puente se cerró. Los investigadores siguen rastreando los fondos robados a través de la red.
Los contratos DeFi abandonados siguen siendo riesgosos
El episodio subraya un problema que la industria sigue redescubriendo, ya que los protocolos muertos todavía conservan dinero real mucho después de que sus equipos se han marchado. El código inmutable no puede parchearse una vez que aparece una debilidad, lo que deja estos sistemas abandonados, ahora ampliamente llamados contratos zombis, expuestos a ataques durante años.
El drenaje corona un periodo difícil para la seguridad on-chain. Los exploits de este mes han costado alrededor de 44 millones de dólares en al menos una docena de incidentes, con varios protocolos más pequeños afectados en las últimas semanas. Ese total sigue a un abril brutal, cuando solo dos ataques hicieron que las pérdidas mensuales superaran los 625 millones de dólares y establecieran un récord en el conteo de incidentes.
Read Next: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test