Aztec Connect, sebuah jembatan DeFi yang telah dihentikan dan terhubung dengan ekosistem Aztec yang berfokus pada privasi, dieksploitasi pada hari Minggu setelah seorang penyerang menguras sekitar $2,1 juta dari kontrak pintar Ethereum yang lama.
Aztec Labs menyatakan di X bahwa mereka “sedang menyelidiki potensi eksploitasi yang memengaruhi Aztec Connect.” Tim tersebut mengatakan sekitar $2,1 juta telah berpindah dari kontrak yang tidak dapat diubah di platform, namun menambahkan bahwa pengguna dan aset Aztec Network saat ini tidak terpengaruh.
Pernyataan tersebut menarik perhatian karena Aztec Connect bukan lagi produk aktif. Platform ini dihentikan pada Maret 2023 setelah Aztec Labs mengalihkan pekerjaan ke versi berikutnya dari jaringan privasinya.
Aztec Connect pernah memungkinkan pengguna untuk mengakses DeFi melalui ZK rollup yang berfokus pada privasi. Setoran dihentikan ketika sistem tersebut ditiadakan, dan pengguna memiliki waktu untuk menarik dana mereka dari platform lama.
Beberapa aset tetap tersisa di dalam kontrak. Pengembang kripto Param mengatakan kontrak-kontrak tersebut kemudian menjadi “sepenuhnya tidak dapat diubah” dan tidak dapat lagi ditingkatkan atau dijeda. Aztec Labs juga menyatakan tidak memegang kunci admin atau kendali atas sistem lama tersebut.
Tidak seperti protokol yang aktif, sistem Aztec Connect yang lama tidak memiliki operator yang dapat menjeda aktivitas. Hal itu membuat respons tergantung pada peringatan publik, pelacakan, dan pemeriksaan oleh pengguna yang masih terpengaruh secara daring.
Pengaturan tersebut tidak menyisakan cara mudah untuk menghentikan eksploitasi setelah penyerang menemukan celahnya. Kode lama tersebut masih ada di Ethereum, dan kontraknya masih menyimpan dana, meskipun produk tersebut telah ditinggalkan.
Tim Phalcon dari BlockSec mengatakan serangan tersebut menargetkan kontrak RollupProcessorV3 Aztec Connect di Ethereum. Perusahaan tersebut mengatakan kerugian melebihi $2,15 juta setelah aktivitas mencurigakan menyerang kontrak tersebut.
Menurut BlockSec, masalahnya melibatkan ketidakcocokan antara bagaimana transaksi diverifikasi dan bagaimana transaksi tersebut diselesaikan di Ethereum. Sederhananya, sistem bukti dan logika penyelesaian tidak membaca daftar transaksi dengan cara yang sama.
Celah itu memungkinkan penyerang untuk membuat saldo yang tidak didukung oleh nilai yang valid di Ethereum. Penyerang kemudian menarik saldo tersebut. Pola yang sama diulang tujuh kali di beberapa aset.
Data CertiK yang dibagikan di X mencantumkan aset yang dicuri termasuk 909 ETH, sekitar 270.000 DAI, 167 wrapped staked ETH, dan sejumlah kecil token lainnya. Param juga mengatakan penyerang mendanai dompet melalui Tornado Cash sebelum eksploitasi.
Eksploitasi Aztec Connect menambah deretan insiden keamanan DeFi di bulan yang aktif ini. Pelacak peretasan DeFiLlama menunjukkan beberapa kerugian di bulan Juni, termasuk $30 juta dari Humanity Protocol pada 8 Juni dan $8 juta dari Syscoin Bridge pada 7 Juni.
Seperti yang sebelumnya dilaporkan oleh crypto.news, Humanity Protocol mengatakan lebih dari $36 juta dicuri setelah penyerang membahayakan kunci administratif yang terhubung dengan infrastruktur jembatannya di seluruh Ethereum dan BNB Smart Chain.
Crypto.news juga melaporkan bahwa kerugian peretasan turun menjadi $68,3 juta pada bulan Mei, turun hampir 90% dari bulan April. Namun, CertiK mengatakan kelemahan kode menyebabkan sekitar $45 juta dari kerugian bulan Mei, menjadikannya jalur serangan terbesar untuk bulan tersebut.
Kasus Aztec menunjukkan mengapa kontrak DeFi lama tetap menjadi bagian dari peta keamanan. Bahkan ketika sebuah produk dihentikan, dana apa pun yang tersisa dalam kontrak yang tidak dapat diubah masih dapat menarik penyerang bertahun-tahun kemudian.
