3年間凍結されていたゾンビコントラクトの悪用で Aztec Connectが210万ドルを流出

攻撃者は、3年前に停止されたプライバシープロトコルの検証不備を突き、6月14日にAztec Connectから210万ドル超を流出させた。

主なポイント:

プロトコル終了から3年後の6月14日、攻撃者がAztec Connectから約219万ドルを引き出した。

コントラクトの証明検証にある抜け穴を悪用し、入金に裏付けられていない残高から出金できるようにした。

Aztec Labsは管理者キーを一切保有しておらず、この変更不可能なコントラクトを停止・アップグレードできないと説明した。

CertiKがAztec Connectの資金流出を検知

CertiK は攻撃から数時間以内に不審な挙動を検知した。Ethereum上にある旧ブリッジの中核コンポーネントであるRollupProcessorV3コントラクトからの資金流出を警告した。セキュリティ企業の BlockSec もすぐに同様の侵害を確認し、当初はコード内のアクセス制御欠如を疑った。

脆弱性は、コントラクトが証明データを検証する方法に潜んでいた。ある経路ではトランザクション全体を検証していた一方で、決済ロジックは同じデータを別の形で読み取っていた。この不整合によって、実際には何も担保がないのに価値があるとみなされ、入金で裏付けられていない残高が生み出されてしまった。

攻撃者はこの手口を、一度の実行で7種類の資産に対して行った。流出額には、909 Ether (ETH)、約27万 Dai (DAI)、167のラップドステーキングEther、さらに少数の利回りを生むトークンが含まれている。オンチェーン記録によると、資金はミキシングサービス経由で事前に資金供給された新規ウォレットに送られており、今回の攻撃が入念に準備されていたことを示している。

Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All

Aztec Labsは管理者キーを保有せず

Aztec Foundation は、警告が上がってから程なくして今回のインシデントを確認し、この侵害は AZTEC (AZTEC) トークンや稼働中のAztecネットワークには影響しないと強調した。トークン価格はほぼ無風で、当日を通して1セント前後で推移した。一方、2022年にローンチされた旧ブリッジは、2023年3月以降休止状態が続いている。

Aztec Labs は介入できない立場であると説明した。旧コントラクトには管理者キーが存在せず、誰もそれを停止したりアップグレードしたりできない。開発者の Param は、ブリッジの運用終了とともにコードは完全に変更不可能になったと説明している。調査チームは現在も、盗まれた資金のネットワーク上での動きを追跡している。

放置されたDeFiコントラクトは依然として危険

この一件は、業界が何度も痛感してきた問題を改めて浮かび上がらせた。プロジェクトチームが離れた後も、「死亡」したプロトコルに実際の資金が残り続けるケースは少なくない。コードが不変である以上、脆弱性が見つかってもパッチを当てることはできず、いわゆるゾンビコントラクトと呼ばれるこうした放棄システムは、何年にもわたって攻撃にさらされる。

今回の流出は、オンチェーンセキュリティにとって厳しい局面に追い打ちをかける形となった。今月だけでも、少なくとも十数件のインシデントで合計約4,400万ドルが失われており、ここ数週間は規模の小さなプロトコルが相次いで被害に遭っている。これは、2件の大型攻撃だけで月間損失が6億2,500万ドルを超え、インシデント件数でも記録を更新した4月に続く動きだ。