Un attaquant a siphonné plus de 2,1 million de dollars depuis Aztec Connect le 14 juin, en exploitant une faille de vérification dans un protocole de confidentialité fermé depuis trois ans.
Points clés :
- Un attaquant a retiré environ 2,19 millions de dollars d’Aztec Connect le 14 juin, trois ans après la mise hors service du protocole.
- L’exploit a tiré parti d’une faille dans la vérification des preuves du contrat, permettant des retraits sur des soldes non couverts par des dépôts.
- Aztec Labs a indiqué ne détenir aucune clé d’administration et ne pas pouvoir mettre en pause ou mettre à jour les contrats immuables.
CertiK signale le siphonnage d’Aztec Connect
CertiK a détecté l’activité suspecte quelques heures après l’attaque. Il a signalé un siphonnage depuis le contrat RollupProcessorV3 sur Ethereum, le composant central du pont obsolète. La société de sécurité BlockSec a confirmé peu après la même brèche et a d’abord soupçonné un contrôle d’accès manquant dans le code.
La faiblesse résidait dans la manière dont le contrat vérifiait les données de preuve : un chemin validait l’ensemble complet de la transaction, tandis que la logique de règlement lisait ces mêmes données différemment. Ce décalage a permis à l’attaquant de créditer de la valeur sans rien derrière, créant des soldes qu’aucun dépôt n’avait jamais soutenus.
L’attaquant a appliqué la manœuvre sur sept actifs en une seule opération. Le butin comprenait 909 Ether (ETH), environ 270 000 Dai (DAI), 167 Ether stakés enveloppés et une poignée de tokens générateurs de rendement. Les enregistrements on-chain ont retracé les fonds jusqu’à un nouveau portefeuille financé plus tôt via un service de mixage, signe que l’opération était préparée de longue date.
Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs ne détient aucune clé d’administration
La Aztec Foundation a confirmé l’incident peu après le déclenchement de l’alerte et a souligné que cette brèche ne touche ni le token AZTEC (AZTEC) ni le réseau Aztec en production. Le token a à peine réagi, s’échangeant autour d’un centime dans la journée, tandis que le pont retiré, lancé initialement en 2022, est resté dormant depuis mars 2023.
Aztec Labs a indiqué ne pas pouvoir intervenir. Les contrats obsolètes ne comportent aucune clé d’administration, de sorte que personne ne peut les mettre en pause ou les mettre à jour, et le développeur Param a expliqué que le code est devenu totalement immuable une fois le pont fermé. Les enquêteurs continuent de tracer les fonds volés à travers le réseau.
Les contrats DeFi abandonnés restent risqués
Cet épisode met en lumière un problème que l’industrie redécouvre sans cesse : des protocoles morts conservent encore de vraies sommes longtemps après le départ de leurs équipes. Un code immuable ne peut pas être corrigé lorsqu’une faiblesse est découverte, ce qui laisse ces systèmes abandonnés, désormais souvent appelés contrats zombies, exposés aux attaques pendant des années.
Ce siphonnage vient clore une période difficile pour la sécurité on-chain. Les exploits de ce mois-ci ont coûté environ 44 millions de dollars sur au moins une douzaine d’incidents, plusieurs petits protocoles ayant été touchés ces dernières semaines. Ce bilan fait suite à un mois d’avril brutal, où deux attaques seulement ont fait dépasser les pertes mensuelles 625 millions de dollars et établi un record en nombre d’incidents.
Read Next: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test