Bir saldırgan, üç yıl önce kapatılan bir gizlilik protokolündeki doğrulama açığını kullanarak 14 Haziran’da Aztec Connect’ten 2,1 milyon dolardan fazla para çekti.
Öne çıkanlar:
- Bir saldırgan, protokolün emekliye ayrılmasından üç yıl sonra, 14 Haziran’da Aztec Connect’ten yaklaşık 2,19 milyon dolar çekti.
- Açık, sözleşmenin ispat doğrulamasındaki bir boşluktan yararlandı ve para çekimlerinin, hiçbir mevduatın desteklemediği bakiyelerden karşılanmasına izin verdi.
- Aztec Labs, yönetici anahtarı bulunmadığını, bu değiştirilemez sözleşmeleri duraklatamayacağını veya yükseltemeyeceğini açıkladı.
CertiK, Aztec Connect Boşaltımını Tespit Etti
CertiK, saldırıdan sonraki birkaç saat içinde şüpheli faaliyeti fark etti. Ethereum üzerindeki, kullanım dışı köprünün çekirdek bileşeni olan RollupProcessorV3 sözleşmesinden gerçekleşen boşaltımı flagged etti. Güvenlik firması BlockSec de kısa süre sonra aynı ihlali doğruladı ve ilk olarak koddaki eksik bir erişim kontrolünden şüphelendi.
Zayıflık, sözleşmenin ispat verilerini nasıl kontrol ettiğinde yatıyordu; bir yol tüm işlem setini doğrularken, mutabakat mantığı aynı veriyi farklı şekilde read ediyordu. Bu uyumsuzluk, saldırganın arkasında hiçbir değer olmayan krediler yazmasına, yani hiçbir mevduatın desteklemediği bakiyeler üretmesine olanak tanıdı.
Saldırgan bu hileyi tek seferde yedi varlık üzerinde kullandı. Vurgun, 909 Ether (ETH), yaklaşık 270.000 Dai (DAI), 167 stake edilmiş sarılmış Ether ve bir dizi getiri sağlayan token içeriyordu. Zincir üstü kayıtlar, fonları, daha önce bir karıştırma hizmeti üzerinden finanse edilen yeni bir cüzdana kadar izledi; bu da hamlenin önceden iyi planlandığına işaret ediyor.
Ayrıca Oku: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs’in Yönetici Anahtarı Yok
Aztec Foundation, alarm verildikten kısa süre sonra olayı doğruladı ve bu ihlalin AZTEC (AZTEC) token’ını ve canlı Aztec ağını etkilemediğini özellikle stressed. Token gün boyunca neredeyse 1 cent seviyesinde işlem görerek fazla tepki vermezken, 2022’de başlatılan emekli köprü Mart 2023’ten beri atıl durumda.
Aztec Labs, olaya müdahale edemeyeceğini belirtti. Kullanım dışı sözleşmelerde yönetici anahtarı bulunmuyor; bu nedenle hiç kimse onları duraklatamıyor veya yükseltemiyor ve geliştirici Param, köprü kapatıldıktan sonra kodun tamamen değiştirilemez hale geldiğini explained etti. Soruşturmacılar çalınan fonları ağ genelinde takip etmeye devam ediyor.
Terk Edilmiş DeFi Sözleşmeleri Hâlâ Riskli
Bu olay, sektörün tekrar tekrar deneyimlediği bir sorunu öne çıkarıyor; zira ölü protokoller, ekipleri çoktan yoluna devam ettikten sonra bile gerçek para tutmaya devam ediyor. Değiştirilemez kodda bir zayıflık ortaya çıktıktan sonra yamalama yapılamıyor; bu da artık yaygın olarak zombi sözleşmeler diye anılan bu terk edilmiş sistemleri yıllarca saldırılara açık bırakıyor.
Bu boşaltım, zincir üzerindeki güvenlik için zorlu bir dönemi taçlandırıyor. Bu ayki açıklar, en az bir düzine olayda yaklaşık 44 milyon dolara mâl oldu ve son haftalarda birkaç küçük protokol de darbe aldı. Bu toplam, yalnızca iki saldırının aylık kayıpları 625 milyon doların üzerine taşıdığı ve olay sayısında rekor kırdığı sert bir nisan ayının ardından geldi.
Sıradaki Okuma: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test