Hackers saquean a Aztec por $2M en el segundo hackeo en una semana
- Un nuevo exploit de 2 millones de dólares afectó a Aztec días después de una brecha separada por 2,19 millones de dólares
- El último ataque a Aztec explotó un producto rollup retirado cuyos controles administrativos fueron renunciados hace años, lo que dejó sin mecanismo para la intervención de emergencia.
- El ataque se suma a una serie de exploits dirigidos a contratos obsoletos en los últimos días.
Los atacantes se han llevado alrededor de 2 millones de dólares de un producto de pagos de Aztec obsoleto el 17 de junio, solo unos días después de que se perdieran 2,19 millones de dólares en un exploit separado que apuntaba al puente retirado de Aztec Connect del proyecto.
Los incidentes consecutivos se suman a un patrón creciente de hackers atacando contratos inteligentes abandonados que contienen fondos de usuarios pero no tienen un equipo capaz de parchearlos.
¿Cómo se explotaron los contratos inteligentes obsoletos de Aztec?
Investigador de seguridad Cos señaló tres transacciones sospechosas del contrato de puente de rollup privado de Aztec el 18 de junio. Estas transacciones fueron de 1.158 ETH, 150.000 DAI y 0,47 renBTC, que sumaron aproximadamente 2,15 millones de dólares según la publicación de Cos en X.
El contrato objetivo que destacó Cos no es el mismo que fue vulnerado el 14 de junio.
Investigador de seguridad, thisvishalsingh, confirmó en X que el vaciado del Private Rollup Bridge “es un incidente separado del vaciado de 2,1 millones de dólares en el contrato obsoleto de Aztec Connect hace unos días”.
Aztec Labs dijo en X que estaba “investigando un posible exploit que afecta a un producto de pagos de Aztec obsoleto de 2021”, describiendo el contrato como “un rollup de etapa 2 inmutable que se dejó de usar en 2022”.
El La Fundación Aztec declaró que “el producto fue obsoleto hace 4 años y Aztec Labs no conserva ningún control sobre el sistema”.
El Ataque de junio 14, que Aztec Labs documentó en un informe posterior, explotó un defecto en cómo el sistema de verificación de pruebas de Aztec Connect y su código de liquidación en cadena leían el mismo lote de transacciones. El sistema de pruebas verificaba filas en grupos de 32, mientras que el código de liquidación solo procesaba tantas como el lote declaraba como “reales”.
A través de 14 presentaciones de rollup elaboradas empaquetadas en una sola transacción, el atacante eliminó aproximadamente 909 ETH, 270.513 DAI, 168 wstETH y varios tokens de bóvedas de Yearn, por un total de alrededor de 2,19 millones de dólares, según Aztec Labs.
Un ataque de seguimiento el 15 de junio utilizó la misma técnica en posiciones de puente DeFi restantes y se llevó 88.000 dólares.
Aztec Connect fue un zk-rollup que preserva la privacidad que se lanzó en 2022 y se dejó de usar en 2023.
En abril de 2024, Aztec Labs renunció a todos los roles administrativos y autoridad de actualización en cadena después de un año de instar a los usuarios a retirar sus fondos. Lo hizo para permitir que los otros usuarios que aún tenían fondos allí salieran sin la participación del equipo.
Sin embargo, también significaba que el equipo de Aztec no tenía acceso para implementar ninguna corrección si se detectaba alguna vulnerabilidad.
La firma de seguridad blockchain Blockaid informó que su plataforma de monitoreo detectó la actividad de preparación del atacante aproximadamente seis minutos antes de que se ejecutara la transacción de vaciado el 14 de junio.
¿Por qué los protocolos obsoletos están bajo ataque?
Los incidentes de Aztec no son aislados. El 15 de junio, el protocolo de opciones DeFi Thetanuts Finance confirmó un exploit de 2,1 millones de dólares que apuntaba a una bóveda heredada de la que se había migrado años atrás. Ese ataque explotó un defecto en la lógica de canje de la bóveda, según el investigador de seguridad ExVul.
Blockful.eth destacó la tendencia en X, escribiendo: “En los últimos días, hemos tenido 2 exploits que exponen un riesgo que pocos recuerdan que existe en DeFi: contratos antiguos con millones de dólares sentados ociosos”.
Para los protocolos que renuncian a las claves de administrador en nombre de la descentralización, el intercambio puede estar luciendo mal en retrospectiva ahora, ya que parece que los atacantes han fijado sus miradas en ellos.
Las pérdidas por exploits de junio en DeFi ya han superado los 43 millones de dólares a mitad de mes, según DefiLlama, y los contratos obsoletos parecen ser una parte creciente de la superficie de objetivos.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Cuánto se robó en total de Aztec entre ambos incidentes?
El primer ataque a Aztec Connect el 14 de junio drenó aproximadamente 2,19 millones de dólares, con una extracción adicional de 88.000 dólares al día siguiente, según el informe póstumo de Aztec Labs. El segundo exploit, separado y ocurrido el 17 de junio, apuntó al Private Rollup Bridge por unos 2 millones de dólares.
¿Esto afecta a la red actual de Aztec o al token AZTEC?
No. Tanto Aztec Labs como la Fundación Aztec confirmaron que los contratos explotados no tienen conexión con el token ERC-20 AZTEC ni con ningún contrato inteligente relacionado con la red actual de Aztec.
¿Por qué no se puede corregir la vulnerabilidad?
Aztec Labs renunció a todos los roles administrativos y a la autoridad de actualización sobre los contratos de Aztec Connect en abril de 2024, haciéndolos completamente inmutables, según el informe póstumo del equipo. El producto de pagos obsoleto atacado en el segundo exploit también fue descrito como un contrato inmutable por Aztec Labs.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
