قراصنة ينهبون شركة أزتيك بمبلغ مليوني دولار في عملية اختراق ثانية خلال أسبوع واحد

استولى المهاجمون على حوالي مليوني دولار من منتج دفعات Aztec المتوقف في 17 يونيو، وذلك بعد أيام قليلة من فقدان 2.19 مليون دولار في عملية استغلال منفصلة استهدفت جسر Aztec Connect المتقاعد للمشروع. 

تُضاف هذهdentالمتتالية إلى نمط متزايد من هجمات المتسللين علىtracالذكية المهجورة التي تحتوي على أموال المستخدمين ولكن ليس لديها فريق قادر على إصلاحها.

كيف تم استغلالtracالأزتك الذكية القديمة؟

الباحث الأمني ​​كوس إلى جسر التجميع الخاص بـ Aztectracفي 18 يونيو. وكانت هذه المعاملات عبارة عن 1158 إيثيريوم، و150000 داي، و0.47 رين بيتكوين، والتي بلغ مجموعها حوالي 2.15 مليون دولار وفقًا لمنشور كوس على X.

إنtracالمستهدف الذي سلط عليه كوس الضوء ليس هو نفسه العقد الذي تم انتهاكه في 14 يونيو. 

الباحث الأمني، thisvishalsingh، على موقع X أن عملية سحب الأموال من Private Rollup Bridge "هي حادثة منفصلةdent عملية سحب الأموال بقيمة 2.1 مليون دولار من عقد Aztec Connect الملغىtracبضعة أيام".

قالت شركة Aztec Labs على منصة X إنها "تجري تحقيقًا في ثغرة أمنية محتملة تؤثر على منتج دفع Aztec الذي تم إيقافه في عام 2021"، واصفةtracبأنه "تجميع غير قابل للتغيير من المرحلة الثانية تم إيقافه في عام 2022"

صرحت مؤسسة أزتيك بأن "المنتج قد تم إيقافه منذ 4 سنوات، ولا تحتفظ شركة أزتيك لابز بأي سيطرة على النظام".

هجوم 14 يونيو، الذي وثّقته مختبرات أزتيك في تقرير لاحق، ثغرةً في آلية قراءة نظام التحقق من الإثباتات في منصة أزتيك كونكت ورمز التسوية على سلسلة الكتل لنفس مجموعة المعاملات. كان نظام التحققات يفحص الصفوف في مجموعات من 32، بينما كان رمز التسوية يعالج فقط عدد المعاملات التي تُصنّفها المجموعة على أنها "حقيقية". 

من خلال 14 عملية تجميع مُصممة بعناية ومُضمنة في معاملة واحدة، قام المهاجم بإزالة ما يقرب من 909 إيثيريوم، و270,513 داي، و168 wstETH، والعديد من رموز Yearn vault، بإجمالي حوالي 2.19 مليون دولار، وفقًا لشركة Aztec Labs.

استخدم هجوم لاحق في 15 يونيو نفس الأسلوب على مراكز جسر DeFi المتبقية واستولى على 88000 دولار.

كان Aztec Connect عبارة عن حزمة zk-rollup للحفاظ على الخصوصية تم إطلاقها في عام 2022 وتم إيقافها في عام 2023. 

في أبريل 2024، تخلّت شركة أزتيك لابز عن جميع الأدوار الإدارية وصلاحيات الترقية على سلسلة الكتل بعد عام من حثّ المستخدمين على سحب أموالهم. وقد فعلت ذلك للسماح للمستخدمين الآخرين الذين لا يزال لديهم أموال بالخروج دون تدخل الفريق. 

لكن هذا يعني أيضاً أن فريق أزتيك لم يكن لديه أي إمكانية لنشر أي إصلاح في حالة اكتشاف أي ثغرة أمنية.

أفادت شركة Blockaid المتخصصة في أمن تقنية البلوك تشين أن منصة المراقبة الخاصة بها رصدت نشاط التحضير للمهاجم قبل حوالي ست دقائق من عملية سحب الأموال التي تم تنفيذها في 14 يونيو. 

لماذا تتعرض البروتوكولات القديمة للهجوم؟

Aztecdentلم تكن DeFi بروتوكول خيارات Thetanuts Finance ثغرة أمنية بقيمة 2.1 مليون دولار استهدفت خزنة قديمة كان قد تم نقلها منها قبل سنوات. ووفقًا لباحث الأمن ExVul، استغل هذا الهجوم خللًا في منطق استرداد الأموال في الخزنة.

سلط موقع Blockful.eth الضوء على هذا الاتجاه على منصة X، وكتب قائلاً: "في الأيام الأخيرة، شهدنا ثغرتين تكشفان عن خطر لا يتذكره الكثيرون في DeFi:tracالقديمة التي تحتوي على ملايين الدولارات غير مستغلة"

بالنسبة للبروتوكولات التي تتخلى عن مفاتيح الإدارة باسم اللامركزية، قد تبدو المقايضة سيئة الآن، حيث يبدو أن المهاجمين قد وضعوا أنظارهم عليها. 

وفقًا لـ DefiLlama، تجاوزت خسائر استغلال الثغرات في يونيو عبر DeFi بالفعل 43 مليون دولار في منتصف الشهر، ويبدو أنtracالمهملة تشكل حصة متزايدة من سطح الهدف.