Atakujący wyprowadził ponad 2,1 mln USD z Aztec Connect 14 czerwca, wykorzystując lukę w weryfikacji w protokole prywatności, który zamknięto trzy lata temu.
Kluczowe punkty:
- Atakujący wyciągnął około 2,19 mln USD z Aztec Connect 14 czerwca, trzy lata po wycofaniu protokołu.
- Exploit wykorzystał lukę w weryfikacji dowodów w kontrakcie, pozwalając na wypłaty z sald, za którymi nie stały żadne depozyty.
- Aztec Labs poinformowało, że nie posiada kluczy administratora i nie może wstrzymać ani zaktualizować niezmiennych kontraktów.
CertiK wykrywa drenaż środków z Aztec Connect
CertiK wychwycił podejrzaną aktywność w ciągu kilku godzin od ataku. flagged drenaż z kontraktu RollupProcessorV3 na Ethereum, głównego komponentu zdeprecjonowanego mostu. Firma bezpieczeństwa BlockSec wkrótce potwierdziła to samo naruszenie i początkowo podejrzewała brak kontroli dostępu w kodzie.
Słabość tkwiła w sposobie sprawdzania danych dowodu przez kontrakt: jedna ścieżka weryfikowała pełny zestaw transakcji, podczas gdy logika rozliczeniowa read te same dane w inny sposób. Niespójność pozwoliła atakującemu księgować wartość bez pokrycia, tworząc salda, za którymi nigdy nie stały żadne depozyty.
Atakujący zastosował ten trik na siedmiu aktywach w jednym podejściu. Łup obejmował 909 Ether (ETH), około 270 000 Dai (DAI), 167 owrapowanych stakowanych Etherów oraz kilka tokenów dochodowych. Zapisy on-chain powiązały środki z nowym portfelem zasilonym wcześniej przez mikser, co sugeruje, że operacja była przygotowywana z wyprzedzeniem.
Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs nie posiada kluczy administratora
Aztec Foundation potwierdziła incydent niedługo po pojawieniu się alarmu i stressed, że naruszenie nie dotknęło tokena AZTEC (AZTEC) ani działającej sieci Aztec. Kurs tokena niemal nie drgnął i przez cały dzień utrzymywał się w okolicach jednego centa, podczas gdy wycofany most, uruchomiony pierwotnie w 2022 r., pozostaje nieaktywny od marca 2023 r.
Aztec Labs poinformowało, że nie mogło zareagować. Zdeprecjonowane kontrakty nie posiadają kluczy administratora, więc nikt nie może ich wstrzymać ani zaktualizować, a deweloper Param explained, że kod stał się w pełni niezmienny po wygaszeniu mostu. Dochodzenia wciąż śledzą skradzione środki w sieci.
Porzucone kontrakty DeFi pozostają ryzykowne
Ten epizod podkreśla problem, z którym branża wciąż się mierzy: martwe protokoły nadal przechowują realne środki długo po tym, jak zespoły je opuszczają. Niezmienny kod nie może zostać załatany po ujawnieniu się luki, co pozostawia te porzucone systemy, coraz częściej nazywane „zombie” kontraktami, otwartymi na ataki przez lata.
Drenaż środków zamyka trudny okres dla bezpieczeństwa on-chain. Ataki w tym miesiącu kosztowały około 44 mln USD w co najmniej kilkunastu incydentach, z wieloma mniejszymi protokołami zaatakowanymi w ostatnich tygodniach. To bilans po brutalnym kwietniu, kiedy dwa ataki wystarczyły, by miesięczne straty przekroczyły 625 mln USD i ustanowiły rekord pod względem liczby incydentów.
Read Next: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test