Hacker plündern Aztec um $2M bei zweitem Hack innerhalb einer Woche
- Ein neuer Exploit im Wert von 2 Millionen Dollar traf Aztec nur Tage nach einem separaten Diebstahl in Höhe von 2,19 Millionen Dollar.
- Der jüngste Angriff auf Aztec nutzte ein bereits eingestelltes Rollup-Produkt aus, dessen administrative Kontrollen vor Jahren aufgegeben wurden, wodurch keine Möglichkeit für einen Notfall-Eingriff mehr besteht.
- Der Angriff fügt sich in eine Reihe von Exploits ein, die in den letzten Tagen veraltete Verträge targeting haben.
Angreifer haben am 17. Juni rund 2 Millionen US-Dollar von einem veralteten Aztec-Zahlungsprodukt abgezogen, nur wenige Tage nachdem 2,19 Millionen US-Dollar bei einem separaten Exploit verloren gingen, der sich gegen die zurückgezogene Aztec Connect Bridge des Projekts richtete.
Die aufeinanderfolgenden Vorfälle fügen sich in ein wachsendes Muster ein, bei dem Hacker verlassene Smart Contracts angreifen, die Benutzerfonds halten, aber kein Team haben, das sie reparieren kann.
Wie wurden veraltete Aztec-Smart Contracts ausgenutzt?
Sicherheitsforscher Cos markierte am 18. Juni drei verdächtige Transaktionen aus Azets privatem Rollup-Bridge-Contract. Diese Transaktionen beliefen sich auf 1.158 ETH, 150.000 DAI und 0,47 renBTC, was laut Cos‘ Post auf X etwa 2,15 Millionen US-Dollar entsprach.
Der von Cos hervorgehobene Ziel-Contract ist nicht derselbe, der am 14. Juni kompromittiert wurde.
Sicherheitsforscher, thisvishalsingh, bestätigte auf X, dass der Private Rollup Bridge Drain „ein separater Vorfall vom 2,1-Millionen-US-Dollar-Drain am veralteten Aztec Connect Contract vor einigen Tagen ist.“
Aztec Labs sagte auf X, es werde „einen potenziellen Exploit untersuchen, der ein veraltetes Aztec-Zahlungsprodukt aus 2021 betrifft“, und beschrieb den Contract als „einen unveränderlichen Stage-2-Rollup, der 2022 eingestellt wurde.“
Die Die Aztec Foundation erklärte , dass „das Produkt vor 4 Jahren veraltet wurde und Aztec Labs keine Kontrolle über das System behält.“
Die Juni 14-Angriff, den Aztec Labs in einem Post-Mortem dokumentierte, nutzte eine Schwachstelle in der Art und Weise aus, wie Aztec Connects Beweisverifizierungssystem und sein On-Chain-Settlement-Code denselben Batch von Transaktionen lasen. Das Beweissystem prüfte Zeilen in Gruppen von 32, während der Settlement-Code nur verarbeitete, wie viele der Batch als „echt“ deklarierte.
Durch 14 maßgeschneiderte Rollup-Einreichungen, die in einer einzigen Transaktion gepackt waren, entfernte der Angreifer etwa 909 ETH, 270.513 DAI, 168 wstETH und mehrere Yearn-Vault-Token, was insgesamt rund 2,19 Millionen US-Dollar entsprach, laut Aztec Labs.
Ein Folgeangriff am 15. Juni nutzte dieselbe Technik an übrig gebliebenen DeFi-Bridge-Positionen und schleppte 88.000 US-Dollar davon.
Aztec Connect war ein datenschutzfreundliches zk-Rollup, das 2022 gestartet und 2023 veraltet wurde.
Im April 2024 gab Aztec Labs alle administrativen Rollen und die Upgrade-Befugnis On-Chain auf, nachdem es ein Jahr lang Nutzer zur Auszahlung aufgefordert hatte. Es tat dies, um anderen Nutzern, die noch Gelder dort hatten, den Ausstieg zu ermöglichen, ohne dass das Team involviert sein musste.
Dies bedeutete jedoch auch, dass das Aztec-Team keinen Zugriff hatte, um eine Korrektur bereitzustellen, falls eine Schwachstelle entdeckt wird.
Die Blockchain-Sicherheitsfirma Blockaid berichtete , dass seine Überwachungsplattform die Vorbereitungstätigkeit des Angreifers etwa sechs Minuten vor der Ausführung der Abfluss-Transaktion am 14. Juni entdeckte.
Warum werden veraltete Protokolle angegriffen?
Die Aztec-Vorfälle sind nicht isoliert. Am 15. Juni bestätigte das DeFi-Optionsprotokoll Thetanuts Finance einen 2,1-Millionen-US-Dollar-Exploit, der ein Legacy-Vault angriff, von dem es vor Jahren migriert war. Dieser Angriff nutzte eine Schwachstelle in der Redemption-Logik des Vaults aus, laut Sicherheitsforscher ExVul.
Blockful.eth hob den Trend auf X hervor und schrieb: „In den letzten Tagen hatten wir 2 Exploits, die ein Risiko aufzeigten, das wenige noch im Gedächtnis haben: Alte Contracts mit Millionen von Dollar, die untätig herumliegen.“
Für Protokolle, die Admin-Schlüssel im Namen der Dezentralisierung aufgeben, könnte sich der Trade-off im Nachhinein als schlecht erweisen, da es scheint, als hätten Angreifer sie ins Visier genommen.
Die Verluste durch DeFi-Exploits im Juni haben bereits die Mitte des Monats überschritten und 43 Millionen US-Dollar erreicht, laut DefiLlama, und veraltete Contracts scheinen einen wachsenden Anteil der Angriffsfläche zu bilden.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Häufig gestellte Fragen
Wie viel wurde insgesamt bei beiden Vorfällen aus Aztec gestohlen?
Der erste Angriff auf Aztec Connect am 14. Juni entleerte etwa 2,19 Millionen Dollar; ein Follow-up am nächsten Tag extrahierte weitere 88.000 Dollar, so das Post-Mortem von Aztec Labs. Der zweite, separate Exploit am 17. Juni zielte auf die Private Rollup Bridge und betrug rund 2 Millionen Dollar.
Betrifft dies das aktuelle Aztec-Netzwerk oder den AZTEC-Token?
Nein. Sowohl Aztec Labs als auch die Aztec Foundation bestätigten, dass die angegriffenen Verträge keine Verbindung zum AZTEC ERC-20-Token oder zu Smart Contracts des aktuellen Aztec-Netzwerks haben.
Warum kann die Sicherheitslücke nicht behoben werden?
Aztec Labs hat im April 2024 alle administrativen Rollen und die Upgrade-Befugnis über die Aztec Connect-Verträge aufgegeben, wodurch diese laut dem Post-Mortem des Teams vollständig unveränderlich wurden. Das veraltete Zahlungsprodukt, das im zweiten Angriff betroffen war, wurde von Aztec Labs ebenfalls als unveränderlicher Vertrag beschrieben.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
