แฮ็กเกอร์ดูดเงินมากกว่า 2.1 ล้านดอลลาร์จาก Aztec Connect เมื่อวันที่ 14 มิ.ย. โดยอาศัยช่องโหว่การยืนยันในโปรโตคอลความเป็นส่วนตัวที่ปิดตัวไปตั้งแต่สามปีก่อน
ประเด็นสำคัญ:
- แฮ็กเกอร์ดึงเงินราว 2.19 ล้านดอลลาร์ออกจาก Aztec Connect เมื่อวันที่ 14 มิ.ย. สามปีหลังจากโปรโตคอลถูกยุติการใช้งาน
- การโจมตีฉวยโอกาสจากช่องว่างในการตรวจสอบหลักฐานของสัญญา ทำให้สามารถถอนเงินจากยอดคงเหลือที่ไม่มีเงินฝากรองรับได้
- Aztec Labs ระบุว่าไม่มี admin key และไม่สามารถหยุดชั่วคราวหรืออัปเกรดสัญญาที่ไม่เปลี่ยนแปลงเหล่านี้ได้
CertiK ตรวจพบการดูดเงินจาก Aztec Connect
CertiK ตรวจพบความเคลื่อนไหวต้องสงสัยภายในไม่กี่ชั่วโมงหลังการโจมตี โดยได้ flagged การดูดเงินออกจากสัญญา RollupProcessorV3 บน Ethereum ซึ่งเป็นส่วนประกอบหลักของสะพานที่เลิกใช้งานไปแล้ว บริษัทด้านความปลอดภัยอีกรายอย่าง BlockSec ยืนยันการเจาะระบบเดียวกันในเวลาต่อมา และในตอนแรกสงสัยว่าโค้ดขาดการควบคุมสิทธิ์การเข้าถึง
จุดอ่อนอยู่ที่วิธีที่สัญญาตรวจสอบข้อมูลหลักฐาน โดยเส้นทางหนึ่งตรวจสอบชุดธุรกรรมทั้งหมด ในขณะที่ตรรกะการชำระธุรกรรมกลับ read ข้อมูลชุดเดียวกันในอีกแบบหนึ่ง ความไม่สอดคล้องนี้เปิดช่องให้ผู้โจมตีบันทึกมูลค่าเครดิตโดยไม่มีอะไรหนุนหลัง ทำให้เกิดยอดคงเหลือที่ไม่เคยมีเงินฝากรองรับจริง
ผู้โจมตีรันกลเม็ดนี้กับสินทรัพย์เจ็ดรายการในการโจมตีครั้งเดียว ทรัพย์สินที่ถูกดูดไปประกอบด้วย Ether (ETH) 909 เหรียญ (ETH), Dai (DAI) ราว 270,000 เหรียญ (DAI), wrapped staked Ether 167 เหรียญ และโทเคนสร้างผลตอบแทนอีกหลายรายการ บันทึกบนเชนติดตามเงินไปยังวอลเล็ตใหม่ที่ได้รับทุนผ่านบริการผสมเหรียญมาก่อน เป็นสัญญาณว่าการเคลื่อนไหวครั้งนี้ถูกเตรียมการล่วงหน้าอย่างดี
Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs ไม่มี Admin Key
Aztec Foundation ยืนยันเหตุการณ์ไม่นานหลังสัญญาณเตือนถูกส่งออกไป และได้ stressed ว่าการเจาะระบบครั้งนี้ไม่กระทบโทเคน AZTEC (AZTEC) และเครือข่าย Aztec หลักที่ยังออนไลน์อยู่ ราคาโทเคนแทบไม่สะทกสะท้าน ซื้อขายใกล้หนึ่งเซ็นต์ตลอดทั้งวัน ขณะที่สะพานเดิมที่เปิดตัวในปี 2022 นั้นหยุดทำงานมาตั้งแต่มี.ค. 2023
Aztec Labs ระบุว่าไม่สามารถเข้ามาแทรกแซงได้ เนื่องจากสัญญาที่เลิกใช้งานแล้วไม่มี admin key ใด ๆ ทำให้ไม่มีใครสามารถหยุดชั่วคราวหรืออัปเกรดได้ และนักพัฒนา Param ได้ explained ว่าโค้ดได้กลายเป็น immutable โดยสมบูรณ์เมื่อสะพานถูกปิดลง ขณะนี้ทีมสืบสวนยังคงติดตามเส้นทางเงินที่ถูกขโมยไปบนเครือข่าย
สัญญา DeFi ที่ถูกทิ้งยังคงเสี่ยง
เหตุการณ์นี้ตอกย้ำปัญหาที่อุตสาหกรรมต้องเรียนรู้ซ้ำแล้วซ้ำเล่า เพราะโปรโตคอลที่ “ตายแล้ว” ยังคงมีเงินจริงค้างอยู่ แม้ทีมงานจะเลิกพัฒนาไปนานแล้ว โค้ดที่เปลี่ยนแปลงไม่ได้ (immutable) ไม่สามารถแพตช์ได้เมื่อพบจุดอ่อน ทำให้ระบบที่ถูกทอดทิ้งเหล่านี้ ซึ่งปัจจุบันถูกเรียกรวม ๆ ว่า “สัญญาซอมบี้” เปิดช่องให้ถูกโจมตีได้อีกหลายปี
การดูดเงินครั้งนี้เป็นบทสรุปช่วงเวลาที่โหดร้ายสำหรับความปลอดภัยบนเชน การโจมตีต่าง ๆ ในเดือนนี้สร้างความเสียหายรวมราว 44 ล้านดอลลาร์จากอย่างน้อยสิบกว่ากรณี โดยมีโปรโตคอลขนาดเล็กหลายรายได้รับผลกระทบในช่วงไม่กี่สัปดาห์ที่ผ่านมา ตัวเลขนี้ต่อเนื่องจากเดือนเมษายนที่เลวร้าย ซึ่งมีเพียงสองการโจมตีแต่ดันทำให้ยอดความเสียหายรายเดือนทะลุ 625 ล้านดอลลาร์ และสร้างสถิติใหม่ด้านจำนวนเหตุการณ์โจมตี
Read Next: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test