6 月 14 日，一名攻擊者自 Aztec Connect 盜走逾 210 萬美元，利用的是一個在三年前關停的隱私協議中的驗證漏洞。
重點摘要：
- 攻擊者在協議退役三年後的 6 月 14 日，從 Aztec Connect 奪走約 219 萬美元。
- 此次攻擊利用了合約在證明驗證上的缺口，使提款可以動用並無實際存款支撐的餘額。
- Aztec Labs 表示其並不持有管理金鑰，也無法暫停或升級這些不可變的合約。
CertiK 發現 Aztec Connect 資金被掏空
CertiK 在攻擊發生數小時內就偵測到可疑活動。它 flagged 了發生在以太坊 RollupProcessorV3 合約上的資金外流，該合約是這條已棄用橋接的核心組件。安全公司 BlockSec 很快也確認了同一漏洞，並首先懷疑程式碼中存在存取控制缺失。
漏洞出現在合約檢查證明資料的方式上：一條路徑會驗證完整交易集合，而結算邏輯則以不同方式 read 同一批資料。這個不一致讓攻擊者能夠在背後沒有任何實際價值支撐的情況下入帳，產生並無存款支撐的帳面餘額。
攻擊者在一次行動中就對七種資產重複施展這個手法。所得包括 909 枚 Ether (ETH)、約 27 萬枚 Dai (DAI)、167 枚包裝質押以太幣以及少量生息代幣。鏈上紀錄顯示，這些資金被轉入一個新地址，而該地址先前透過混幣服務獲得資金，顯示這次攻擊是早有預謀。
Also Read: Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs 並無管理金鑰
Aztec Foundation 在警報發出後不久便確認了這起事件，並 stressed 此次漏洞並未波及 AZTEC (AZTEC) 代幣與現行的 Aztec 網路。代幣價格幾乎未受影響，當日仍在一美分附近交易；而這條在 2022 年上線、已於 2023 年 3 月退役的橋接，則一直保持停擺狀態。
Aztec Labs 表示自己無法介入處理。這些已棄用的合約並不持有任何管理金鑰，因此沒有人可以暫停或升級它們；開發者 Param 則進一步 explained 指出，一旦橋接關停後，相關程式碼就完全變為不可變。調查人員目前仍在全網追蹤被盜資金的流向。
被遺棄的 DeFi 合約仍具風險
這起事件凸顯業界反覆面對的一個問題：許多早已「死亡」的協議，即便團隊早已離場，仍然長期持有真金白銀。當不可變程式碼在上線後被發現存在弱點時，便無法再被修補，使得這些如今被廣泛稱為「僵屍合約」的系統在多年內都暴露於攻擊風險之下。
此次資金外流，為近期本就艱困的鏈上安全情勢再添陰影。僅本月的漏洞事件就已造成約 4400 萬美元損失，分散在至少十多起攻擊中，多個較小協議於近幾週接連中招。這一數字延續了殘酷的四月份：當時僅兩起攻擊便讓單月損失突破 6.25 億美元，並創下事故件數新高。
Read Next: Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test