Un attaquant a vidé plus de 2,1 millions de dollars d’Aztec Connect le 14 juin, en exploitant une faille de vérification dans un protocole de confidentialité fermé depuis trois ans.
Points clés :
- Un attaquant a retiré environ 2,19 millions de dollars d’Aztec Connect le 14 juin, trois ans après la mise hors service du protocole.
- L’exploit a tiré parti d’une faille dans la vérification de preuve du contrat, permettant des retraits reposant sur des soldes non couverts par des dépôts.
- Aztec Labs a indiqué ne détenir aucune clé d’administration et ne pas pouvoir suspendre ni mettre à jour les contrats immuables.
CertiK signale la vidange d’Aztec Connect
CertiK a détecté l’activité suspecte quelques heures après l’attaque. Il a signalé une vidange du contrat RollupProcessorV3 sur Ethereum, le composant central de l’ancien pont. La société de sécurité BlockSec a confirmé rapidement la même brèche et a d’abord suspecté un contrôle d’accès manquant dans le code.
La faiblesse se trouvait dans la manière dont le contrat vérifiait les données de preuve, une voie vérifiant l’ensemble de la transaction tandis que la logique de règlement lisait ces mêmes données différemment. Ce décalage a permis à l’attaquant de créditer de la valeur sans rien derrière, générant des soldes qu’aucun dépôt n’avait jamais soutenus.
L’attaquant a appliqué l’astuce sur sept actifs en une seule opération. Le butin comprenait 909 Ether (ETH), environ 270 000 Dai (DAI), 167 Ether stakés encapsulés et une poignée de jetons générateurs de rendement. Les données on-chain ont retracé les fonds vers un nouveau portefeuille alimenté auparavant via un service de mixage, signe que l’opération avait été préparée de longue date.
À lire aussi : Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs ne détient aucune clé d’administration
La Aztec Foundation a confirmé l’incident peu après le déclenchement de l’alerte et a souligné que la brèche ne touche ni le jeton AZTEC (AZTEC) ni le réseau Aztec en production. Le jeton a à peine réagi, s’échangeant autour d’un centime durant la journée, tandis que l’ancien pont, lancé en 2022, reste inactif depuis mars 2023.
Aztec Labs a indiqué ne pas pouvoir intervenir. Les contrats dépréciés ne comportent aucune clé d’administration, de sorte que personne ne peut les suspendre ni les mettre à jour, et le développeur Param a expliqué que le code est devenu totalement immuable une fois le pont arrêté. Les enquêteurs suivent encore la trace des fonds volés sur le réseau.
Les contrats DeFi abandonnés restent risqués
L’épisode met en lumière un problème que le secteur redécouvre sans cesse : des protocoles morts continuent de détenir de vraies sommes longtemps après le départ des équipes. Un code immuable ne peut pas être corrigé lorsqu’une faiblesse apparaît, ce qui laisse ces systèmes abandonnés, désormais largement appelés contrats zombies, exposés aux attaques pendant des années.
Cette vidange conclut une période difficile pour la sécurité on-chain. Les exploits de ce mois-ci ont coûté environ 44 millions de dollars sur au moins une douzaine d’incidents, plusieurs petits protocoles ayant été touchés ces dernières semaines. Ce bilan fait suite à un mois d’avril brutal, où deux attaques seulement ont fait dépasser les pertes mensuelles 625 millions de dollars et établi un record en nombre d’incidents.
À lire ensuite : Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test