Um invasor drenou mais de US$ 2,1 milhões da Aztec Connect em 14 de junho, explorando uma falha de verificação em um protocolo de privacidade que foi encerrado três anos atrás.
Pontos-chave:
- Um invasor retirou cerca de US$ 2,19 milhões da Aztec Connect em 14 de junho, três anos após o protocolo ter sido desativado.
- A exploração abusou de uma brecha na verificação de provas do contrato, permitindo saques baseados em saldos sem depósito correspondente.
- A Aztec Labs afirmou que não possui chaves de administrador e não pode pausar ou atualizar os contratos imutáveis.
CertiK sinaliza drenagem da Aztec Connect
CertiK identificou a atividade suspeita poucas horas após o ataque. Ela flagged uma drenagem do contrato RollupProcessorV3 na Ethereum, o principal componente da ponte descontinuada. A empresa de segurança BlockSec confirmou a mesma violação logo depois e inicialmente suspeitou de uma falha de controle de acesso no código.
A fraqueza estava na forma como o contrato verificava os dados de prova, com um caminho validando o conjunto completo de transações enquanto a lógica de liquidação read esses mesmos dados de forma diferente. Essa divergência permitiu que o invasor creditasse valor sem nada que o respaldasse, gerando saldos que nenhum depósito havia suportado.
O invasor executou o truque em sete ativos em um único movimento. O saque incluiu 909 Ether (ETH), cerca de 270.000 Dai (DAI), 167 Ether em staking envolvido e alguns tokens que rendem juros. Registros on-chain rastrearam os fundos até uma carteira nova, financiada anteriormente por meio de um serviço de mixagem, sinal de que a ação foi preparada com bastante antecedência.
Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs não possui chaves de administrador
A Aztec Foundation confirmou o incidente pouco depois do alerta e stressed que a violação não afetou o token AZTEC (AZTEC) nem a rede Aztec ativa. O token mal reagiu, sendo negociado perto de um centavo ao longo do dia, enquanto a ponte aposentada, lançada em 2022, permanece inativa desde março de 2023.
A Aztec Labs afirmou que não poderia intervir. Os contratos descontinuados não possuem chaves de administrador, portanto, ninguém pode pausá-los ou atualizá-los, e o desenvolvedor Param explained que o código se tornou totalmente imutável quando a ponte foi encerrada. Investigadores ainda estão rastreando os fundos roubados na rede.
Contratos DeFi abandonados continuam arriscados
O episódio destaca um problema que o setor continua a reaprender: protocolos encerrados ainda mantêm dinheiro real muito tempo depois de suas equipes seguirem em frente. Código imutável não pode ser corrigido quando uma falha é descoberta, deixando esses sistemas abandonados, agora amplamente chamados de contratos zumbi, expostos a ataques por anos.
A drenagem coroa um período difícil para a segurança on-chain. Explorações neste mês já causaram cerca de US$ 44 milhões em perdas em pelo menos uma dúzia de incidentes, com vários protocolos menores atingidos nas últimas semanas. Esse total segue um abril brutal, quando apenas dois ataques elevaram as perdas mensais para mais de US$ 625 milhões e estabeleceram um recorde em número de incidentes.
Read Next: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test