6月14日，一名攻击者从 Aztec Connect 中盗走了逾 210 万美元，利用的是一个已在三年前关闭的隐私协议中的验证缺陷。
要点概览：
- 协议退役三年后，攻击者于 6 月 14 日从 Aztec Connect 中转出了约 219 万美元。
- 漏洞利用了合约在证明验证上的缺口，使得提现可以动用从未有真实存款支撑的余额。
- Aztec Labs 表示其并不持有管理员密钥，无法暂停或升级这些不可变合约。
CertiK 预警 Aztec Connect 资金被盗
CertiK 在攻击发生数小时内就捕捉到了异常活动。它 flagged 了以太坊上 RollupProcessorV3 合约中的资金流出，这是这一已弃用跨链桥的核心组件。安全公司 BlockSec 随后也确认了同一漏洞，并首先怀疑代码中缺失访问控制。
漏洞源于合约在校验证明数据方式上的问题：一条路径会验证完整的交易集合，而结算逻辑则以不同方式 read 同一数据。这种不匹配让攻击者能够凭空记入价值，造出从未有存款支持的余额。
攻击者在一次操作中对七种资产重复使用了这一手法。被盗资产包括 909 枚 以太币 (ETH)、约 27 万枚 Dai (DAI)、167 枚包装质押以太币及若干收益型代币。链上记录显示，这些资金被转入一个此前刚通过混币服务获得资金的新钱包，表明攻击准备已久。
延伸阅读： Bitcoin Bulls Eye $67K After Trump Says Hormuz Will Open To All
Aztec Labs 不持有管理员密钥
Aztec Foundation 在警报拉响后不久便确认了这一事件，并 stressed 此次漏洞并未影响 AZTEC (AZTEC) 代币及正在运行的 Aztec 网络。代币价格几乎未受波动，当日基本维持在 1 美分附近；而这条在 2022 年上线的旧跨链桥，自 2023 年 3 月起便已停止运作。
Aztec Labs 表示其无法介入处理。已弃用合约中并不存在管理员密钥，任何人都无法暂停或升级这些合约；开发者 Param 也 explained 称，跨链桥关闭后，相关代码已完全不可变。目前调查人员仍在追踪被盗资金在网络中的流向。
废弃 DeFi 合约依然风险重重
此次事件再次强调了一个行业反复经历的问题：即便协议早已“死亡”，在团队离场许久之后，合约里往往仍残留大量资金。一旦暴露出漏洞，不可变代码就无法打补丁，这让这些被弃用的系统——如今被广泛称为“僵尸合约”——在多年内一直暴露在攻击风险之下。
这起资金被盗事件也为近期本已紧张的链上安全形势再添阴影。本月各类漏洞利用已在至少十余起事件中造成约 4400 万美元损失，数个体量较小的协议在近期接连中招。而在此前的 4 月，仅两起攻击就将当月损失推高至 6.25 亿美元以上，并创下事件数量纪录。
下一篇： Index Rules Turn SpaceX's $2T Debut Into A Market Stress Test