Aztec Labs, główna firma deweloperska stojąca za projektem skalującym Ethereum skoncentrowanym na prywatności, Aztec, bada eksploit o wartości około 2 milionów dolarów w wycofanym produkcie płatniczym.

Firma bezpieczeństwa blockchain PeckShield oszacowała, że eksploit doprowadził do wyprowadzenia kryptowalut o wartości około 2,165 miliona dolarów, w tym 1.158K ETH, 150K DAI i 0.47 renBTC, przy czym atak został pierwotnie sfinansowany kwotą 0.134 ETH z HitBTC.

Jest to drugi eksploit dotykający wycofaną infrastrukturę Aztec w ciągu czterech dni, po osobnym ataku na niezmienny smart kontrakt Aztec Connect w niedzielę, który doprowadził do wyprowadzenia około 2,1 miliona dolarów.

Naukowcy z BlockSec stwierdzili, że najnowszy atak wydaje się być związany z eksploitem z 14 czerwca, ale był skierowany na inną pulę za pośrednictwem osobnego punktu wejścia. Firma przypisała incydent wadzie walidacji, która pozwoliła atakującemu wypłacić aktywa, jednocześnie przechodząc weryfikacje onchain. „To nie jest ten sam błąd co poprzedni, chociaż oba dotyczą problemów z wiązaniem danych wejściowych obwodu publicznego, a ślad wykonania jest podobny” – podała firma na platformie X.

Fundacja Aztec podkreśliła, że „nie ma żadnych powiązań między tym produktem a smart kontraktami związanymi z obecną siecią lub tokenem AZTEC ERC20”. Wykorzystany produkt, niezmienny rollup warstwy 2, został wycofany cztery lata temu.

Incydent ten wpisuje się w jeden z najgorszych okresów dla eksploitów DeFi, w obliczu postępów w dziedzinie sztucznej inteligencji, gdzie ponad 30 protokołów zostało zhakowanych na kwotę ponad 600 milionów dolarów, z czego najwięcej, 292 miliony dolarów, stanowił eksploit Kelp DAO.

Aztec Labs oświadczyło, że w odpowiednim czasie udostępni dalsze aktualizacje.