Un atacante drenó más de 2,1 millones de dólares de Aztec Connect el 14 de junio, aprovechando una falla de verificación en un protocolo de privacidad que se cerró hace tres años.
Puntos clave:
- Un atacante retiró cerca de 2,19 millones de dólares de Aztec Connect el 14 de junio, tres años después de que el protocolo fuera retirado.
- El exploit aprovechó una brecha en la verificación de pruebas del contrato, permitiendo que los retiros se basaran en saldos sin ningún depósito que los respaldara.
- Aztec Labs dijo que no posee claves de administrador y no puede pausar ni actualizar los contratos inmutables.
CertiK detecta el drenaje de Aztec Connect
CertiK detectó la actividad sospechosa pocas horas después del ataque. La señaló como un drenaje desde el contrato RollupProcessorV3 en Ethereum, el componente central del puente obsoleto. La firma de seguridad BlockSec confirmó la misma brecha poco después y sospechó primero de un control de acceso ausente en el código.
La debilidad residía en cómo el contrato comprobaba los datos de la prueba: una ruta verificaba el conjunto completo de transacciones mientras que la lógica de liquidación leía esos mismos datos de forma diferente. La discrepancia permitió al atacante acreditar valor sin nada que lo respaldara, generando saldos que ningún depósito había soportado.
El atacante ejecutó el truco con siete activos en una sola operación. El botín incluyó 909 Ether (ETH), unos 270.000 Dai (DAI), 167 Ether en staking envuelto y un puñado de tokens con rendimiento. Los registros on-chain rastrearon los fondos hasta una billetera nueva financiada antes a través de un servicio de mezcla, una señal de que el movimiento fue preparado con mucha antelación.
También lee: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs no tiene claves de administrador
La Aztec Foundation confirmó el incidente poco después de que saltara la alarma y remarcó que la brecha no afecta al token AZTEC (AZTEC) ni a la red Aztec en producción. El token casi no reaccionó, manteniéndose cerca de un centavo durante el día, mientras que el puente retirado, lanzado inicialmente en 2022, ha permanecido inactivo desde marzo de 2023.
Aztec Labs dijo que no podía intervenir. Los contratos obsoletos no tienen claves de administrador, por lo que nadie puede pausarlos ni actualizarlos, y el desarrollador Param explicó que el código se volvió totalmente inmutable una vez que el puente se cerró. Los investigadores siguen rastreando los fondos robados a través de la red.
Los contratos DeFi abandonados siguen siendo riesgosos
El episodio subraya un problema que la industria sigue reaprendiendo: los protocolos muertos aún mantienen dinero real mucho después de que sus equipos se marchan. El código inmutable no puede parchearse una vez que aparece una debilidad, lo que deja estos sistemas abandonados, ahora llamados ampliamente contratos zombis, expuestos a ataques durante años.
El drenaje corona un período difícil para la seguridad on-chain. Los exploits de este mes han costado alrededor de 44 millones de dólares en al menos una docena de incidentes, con varios protocolos más pequeños afectados en las últimas semanas. Ese recuento sigue a un abril brutal, cuando solo dos ataques llevaron las pérdidas mensuales por encima de los 625 millones de dólares y establecieron un récord en el número de incidentes.
Lee a continuación: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test