Um atacante drenou mais de US$ 2,1 milhões da Aztec Connect em 14 de junho, explorando uma falha de verificação em um protocolo de privacidade que foi encerrado há três anos.
Pontos-chave:
- Um atacante retirou cerca de US$ 2,19 milhões da Aztec Connect em 14 de junho, três anos após o protocolo ter sido desativado.
- O exploit abusou de uma brecha na verificação de provas do contrato, permitindo que saques utilizassem saldos sem depósito correspondente.
- A Aztec Labs afirmou que não possui chaves de administrador e não pode pausar ou atualizar os contratos imutáveis.
CertiK sinaliza drenagem na Aztec Connect
CertiK detectou a atividade suspeita poucas horas após o ataque. Ela flagged uma drenagem do contrato RollupProcessorV3 na Ethereum, o principal componente da antiga ponte. A empresa de segurança BlockSec confirmou a mesma violação logo depois e inicialmente suspeitou de ausência de controle de acesso no código.
A fragilidade estava em como o contrato verificava os dados da prova, com um caminho validando todo o conjunto de transações enquanto a lógica de liquidação read esses mesmos dados de forma diferente. A discrepância permitiu ao atacante creditar valor sem nada por trás, gerando saldos que nenhum depósito jamais sustentou.
O atacante repetiu o truque em sete ativos em uma única sequência. O saque incluiu 909 Ether (ETH), cerca de 270.000 Dai (DAI), 167 wrapped staked Ether e alguns tokens geradores de rendimento. Registros on-chain rastrearam os fundos até uma carteira recém-criada, financiada anteriormente por meio de um serviço de mixing, sinal de que a ação foi preparada com antecedência.
Também leia: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs não possui chaves de administrador
A Aztec Foundation confirmou o incidente pouco depois do alerta e stressed que a violação não afeta o token AZTEC (AZTEC) nem a rede Aztec ativa. O token quase não se mexeu, sendo negociado perto de um centavo ao longo do dia, enquanto a ponte desativada, lançada pela primeira vez em 2022, está em modo inativo desde março de 2023.
A Aztec Labs afirmou que não podia intervir. Os contratos descontinuados não possuem chaves de administrador, portanto ninguém pode pausá-los ou atualizá-los, e o desenvolvedor Param explained que o código se tornou totalmente imutável quando a ponte foi encerrada. Investigadores ainda estão rastreando os fundos roubados pela rede.
Contratos DeFi abandonados continuam arriscados
O episódio destaca um problema que o setor continua reaprendendo, já que protocolos encerrados ainda mantêm dinheiro real muito depois de suas equipes seguirem em frente. Código imutável não pode ser corrigido quando uma fraqueza vem à tona, deixando esses sistemas abandonados, hoje amplamente chamados de contratos zumbis, expostos a ataques por anos.
A drenagem encerra um período difícil para a segurança on-chain. Exploits neste mês já causaram cerca de US$ 44 milhões em perdas em pelo menos uma dúzia de incidentes, com vários protocolos menores atingidos nas últimas semanas. Esse total segue um abril brutal, quando apenas dois ataques levaram as perdas mensais a mais de US$ 625 milhões e estabeleceram um recorde em número de incidentes.
Leia a seguir: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test