ผู้โจมตีดูดเงินมากกว่า 2.1 ล้านดอลลาร์ออกจาก Aztec Connect เมื่อวันที่ 14 มิ.ย. โดยใช้ช่องโหว่ในการยืนยันธุรกรรมของโปรโตคอลความเป็นส่วนตัวที่ปิดตัวไปแล้วสามปีก่อน
ประเด็นสำคัญ:
- ผู้โจมตีดึงเงินประมาณ 2.19 ล้านดอลลาร์ออกจาก Aztec Connect เมื่อวันที่ 14 มิ.ย. สามปีหลังโปรโตคอลถูกยุติ
- การโจมตีอาศัยช่องว่างในขั้นตอนตรวจสอบหลักฐานของสัญญา ทำให้สามารถถอนเงินจากยอดคงเหลือที่ไม่เคยมีเงินฝากรองรับได้
- Aztec Labs ระบุว่าไม่มีคีย์แอดมินและไม่สามารถหยุดหรืออัปเกรดสัญญาที่เปลี่ยนสถานะเป็น immutable แล้วได้
CertiK ตรวจพบการดูดเงินจาก Aztec Connect
CertiK ตรวจพบกิจกรรมที่น่าสงสัยได้ภายในไม่กี่ชั่วโมงหลังการโจมตี โดยได้ทำการ flagged การดูดเงินจากสัญญา RollupProcessorV3 บน Ethereum ซึ่งเป็นคอมโพเนนต์แกนกลางของสะพานที่ถูกยกเลิกใช้งานแล้ว บริษัทด้านความปลอดภัยร่วมอุตสาหกรรมอย่าง BlockSec ยืนยันการละเมิดเดียวกันในเวลาต่อมา และในเบื้องต้นสงสัยว่าเกิดจากการขาดการควบคุมสิทธิ์การเข้าถึงในโค้ด
จุดอ่อนอยู่ที่วิธีที่สัญญาตรวจสอบข้อมูลหลักฐาน โดยเส้นทางหนึ่งตรวจสอบชุดธุรกรรมทั้งหมด ในขณะที่ตรรกะชำระธุรกรรมกลับ read ข้อมูลเดียวกันแตกต่างออกไป ความไม่ตรงกันนี้ทำให้ผู้โจมตีสามารถบันทึกมูลค่าได้โดยไม่มีอะไรหนุนหลัง ทำให้เกิดยอดคงเหลือที่ไม่เคยมีเงินฝากรองรับจริง
ผู้โจมตีรันกลวิธีนี้กับสินทรัพย์เจ็ดรายการในการดำเนินการครั้งเดียว ทรัพย์สินที่ได้รวมถึง Ether 909 เหรียญ (ETH), เหรียญ Dai (DAI) ประมาณ 270,000 เหรียญ, wrapped staked Ether 167 เหรียญ และโทเคนให้ผลตอบแทนอีกจำนวนหนึ่ง ข้อมูลออนเชนติดตามเงินไปยังกระเป๋าใหม่ที่ได้รับเงินผ่านบริการผสมเหรียญมาก่อนหน้า บ่งชี้ว่าการเคลื่อนไหวนี้ถูกเตรียมการล่วงหน้าอย่างดี
Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs ไม่มีคีย์แอดมิน
Aztec Foundation ยืนยันเหตุการณ์ดังกล่าวไม่นานหลังมีสัญญาณเตือน และได้ stressed ว่าการละเมิดครั้งนี้ไม่กระทบต่อโทเคน AZTEC (AZTEC) และเครือข่าย Aztec ที่ยังทำงานอยู่ ราคาโทเคนแทบไม่สะเทือน ซื้อขายใกล้ 1 เซนต์ตลอดทั้งวัน ขณะที่สะพานที่ปิดตัวไปแล้ว ซึ่งเปิดตัวครั้งแรกในปี 2022 นั้นหยุดทำงานมาตั้งแต่มี.ค. 2023
Aztec Labs ระบุว่าไม่สามารถเข้ามาแทรกแซงได้ เนื่องจากสัญญาที่เลิกใช้แล้วไม่มีคีย์แอดมิน ทำให้ไม่มีใครสามารถหยุดหรืออัปเกรดได้ และนักพัฒนา Param ได้ explained ว่าโค้ดกลายเป็น immutable เต็มรูปแบบเมื่อสะพานถูกปิดลง ทีมสืบสวนยังคงติดตามเส้นทางของเงินที่ถูกขโมยไปทั่วทั้งเครือข่าย
สัญญา DeFi ที่ถูกทิ้งร้างยังคงเสี่ยง
เหตุการณ์นี้ตอกย้ำปัญหาที่อุตสาหกรรมต้องเรียนรู้ซ้ำแล้วซ้ำเล่า เพราะโปรโตคอลที่ตายแล้วมักยังถือเงินจริงเอาไว้นานหลังจากทีมงานย้ายออกไป โค้ดที่ immutable ไม่สามารถแพตช์ได้เมื่อพบช่องโหว่ ทำให้ระบบที่ถูกทิ้งร้างเหล่านี้ ซึ่งปัจจุบันมักเรียกว่า “สัญญาซอมบี้” เปิดช่องให้ถูกโจมตีได้เป็นเวลาหลายปี
การดูดเงินครั้งนี้ปิดฉากช่วงเวลาที่เลวร้ายสำหรับความปลอดภัยบนเชน การโจมตีในเดือนนี้สร้างความเสียหายรวมราว 44 ล้านดอลลาร์จากอย่างน้อยสิบกว่ากรณี โดยมีโปรโตคอลขนาดเล็กหลายรายถูกโจมตีในช่วงไม่กี่สัปดาห์ที่ผ่านมา ตัวเลขดังกล่าวต่อเนื่องจากเดือนเมษายนที่รุนแรง ซึ่งมีเพียงสองเหตุการณ์ก็ทำให้ยอดความเสียหายรวมทั้งเดือนทะลุ 625 ล้านดอลลาร์ และสร้างสถิติใหม่ด้านจำนวนเหตุการณ์
Read Next: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test