Aztec Connect, застарілий DeFi-міст, пов’язаний з орієнтованою на конфіденційність екосистемою Aztec, зазнав експлойту в неділю після того, як зловмисник вивів близько 2,1 мільйона доларів зі старого смарт-контракту Ethereum.
Aztec Labs повідомила на X, що "розслідує потенційний експлойт, який вплинув на Aztec Connect". Команда заявила, що близько 2,1 мільйона доларів було виведено з незмінного контракту платформи, але додала, що поточні користувачі та активи Aztec Network не постраждали.
Заява привернула увагу, оскільки Aztec Connect більше не був активним продуктом. Платформа була занедбана в березні 2023 року після того, як Aztec Labs переключила роботу на наступну версію своєї приватної мережі.
Aztec Connect колись дозволяв користувачам отримувати доступ до DeFi через орієнтований на конфіденційність ZK-згорток. Депозити були зупинені, коли система виводилася з експлуатації, і користувачі мали час вивести свої кошти зі старої платформи.
Деякі активи залишилися в контракті. Крипторозробник Param заявив, що контракти пізніше стали "повністю незмінними" і їх більше не можна було оновлювати чи призупиняти. Aztec Labs також повідомила, що не має адміністративних ключів чи контролю над старою системою.
На відміну від активного протоколу, стара система Aztec Connect не мала оператора, здатного призупинити діяльність. Це змусило реакцію залежати від публічних попереджень, відстеження та перевірок з боку постраждалих користувачів в Інтернеті.
Така конфігурація не залишила простого способу зупинити експлойт, щойно зловмисник знайшов шлях. Старий код все ще існував на Ethereum, а контракт все ще містив кошти, незважаючи на те, що продукт був занедбаний.
Команда Phalcon від BlockSec повідомила, що атака була спрямована на контракт RollupProcessorV3 Aztec Connect на Ethereum. Фірма заявила, що збитки перевищили 2,15 мільйона доларів після підозрілої активності на контракті.
За даними BlockSec, проблема полягала в невідповідності між тим, як транзакції верифікувалися і як вони розраховувалися на Ethereum. Простими словами, система доказів і логіка розрахунків не читали список транзакцій однаково.
Ця прогалина дозволила зловмиснику створити баланси, які не були забезпечені дійсною вартістю на Ethereum. Потім зловмисник вивів ці баланси. Той самий патерн повторювався сім разів для кількох активів.
Дані CertiK, опубліковані на X, перераховували викрадені активи, включаючи 909 ETH, близько 270 000 DAI, 167 обгорнутих застейканих ETH та менші суми інших токенів. Param також заявив, що зловмисник поповнив гаманець через Tornado Cash перед експлойтом.
Експлойт Aztec Connect доповнює ще один активний місяць для інцидентів безпеки DeFi. Трекер хакерських атак DeFiLlama показує кілька червневих втрат, включаючи 30 мільйонів доларів від Humanity Protocol 8 червня та 8 мільйонів доларів від Syscoin Bridge 7 червня.
Як раніше повідомляв crypto.news, Humanity Protocol заявив, що було викрадено понад 36 мільйонів доларів після того, як зловмисники скомпрометували адміністративні ключі, пов'язані з його мостовою інфраструктурою на Ethereum та BNB Smart Chain.
Crypto.news також повідомив, що втрати від хакерських атак у травні знизилися до 68,3 мільйона доларів, що майже на 90% менше, ніж у квітні. Проте, CertiK заявив, що помилки в коді стали причиною близько 45 мільйонів доларів втрат у травні, що зробило їх найбільшим шляхом атаки того місяця.
Випадок Aztec показує, чому старі контракти DeFi залишаються частиною карти безпеки. Навіть коли продукт припиняє свою діяльність, будь-які кошти, залишені в незмінних контрактах, все ще можуть приваблювати зловмисників через роки.
ETH
DAI
