Les meilleures analyses crypto directement dans votre boîte mail.
Des pirates informatiques dérobent 2 millions de dollars à Aztec lors d'un deuxième piratage en une semaine
- Aztec a été victime d'une nouvelle faille de sécurité d'une valeur de 2 millions de dollars quelques jours après une autre violation de données d'une valeur de 2,19 millions de dollars
- La dernière attaque Aztec a exploité un produit de consolidation obsolète dont les contrôles administratifs avaient été abandonnés il y a des années, ne laissant aucun mécanisme d'intervention d'urgence.
- Cette attaque s'ajoute à une série d'exploitations de failles de sécurité ayant ciblé destracobsolètes ces derniers jours.
Des pirates informatiques ont dérobé environ 2 millions de dollars à un produit de paiement Aztec obsolète le 17 juin, quelques jours seulement après la perte de 2,19 millions de dollars lors d'une autre attaque ciblant le pont Aztec Connect, désormais hors service.
Cesdentsuccessifs s'ajoutent à une tendance croissante de pirates informatiques attaquanttracintelligents abandonnés qui détiennent des fonds d'utilisateurs mais pour lesquels aucune équipe n'est capable de les réparer.
Comment lestracintelligents aztèques obsolètes ont-ils été exploités ?
Le chercheur en sécurité Cos a signalé trois transactions suspectes provenant du contrat de pont de rollup privé d'Aztectrac18 juin. Ces transactions s'élevaient à 1 158 ETH, 150 000 DAI et 0,47 renBTC, soit un total d'environ 2,15 millions de dollars selon le message de Cos sur X.
Le contrattracque Cos a mis en évidence n'est pas le même que celui qui a été enfreint le 14 juin.
Le chercheur en sécurité, thisvishalsingh, a confirmé sur X que le détournement de fonds du Private Rollup Bridge « est un incident distinctdent détournement de 2,1 millions de dollars sur le contrat Aztec Connect obsolètetracy a quelques jours ».
Aztec Labs a déclaré sur X qu'elle « enquêtait sur une faille potentielle affectant un produit de paiement Aztec obsolète datant de 2021 », décrivant letraccomme « un regroupement de niveau 2 immuable qui a été abandonné en 2022 »
La Fondation Aztec a déclaré que « le produit a été abandonné il y a 4 ans et qu'Aztec Labs ne conserve aucun contrôle sur le système ».
L' attaque du 14 juin, documentée par Aztec Labs dans un rapport d'analyse post-mortem, a exploité une faille dans la manière dont le système de vérification des preuves et le code de règlement on-chain d'Aztec Connect traitaient le même lot de transactions. Le système de vérification contrôlait les lignes par groupes de 32, tandis que le code de règlement ne traitait que les transactions déclarées comme « réelles » par le lot.
Selon Aztec Labs, grâce à 14 soumissions de rollup soigneusement conçues et regroupées dans une seule transaction, l'attaquant a dérobé environ 909 ETH, 270 513 DAI, 168 wstETH et plusieurs jetons Yearn Vault, pour un total d'environ 2,19 millions de dollars.
Une attaque de suivi, le 15 juin, a utilisé la même technique sur des positions restantes sur le pont DeFi et a permis de dérober 88 000 $.
Aztec Connect était un zk-rollup préservant la confidentialité qui a été lancé en 2022 et abandonné en 2023.
En avril 2024, Aztec Labs a renoncé à tous ses rôles administratifs et à son autorité de mise à jour sur la blockchain après avoir incité ses utilisateurs à retirer leurs fonds pendant un an. Cette décision visait à permettre aux utilisateurs qui y avaient encore des fonds de se retirer sans intervention de l'équipe.
Cependant, cela signifiait également que l'équipe aztèque n'avait aucun moyen de déployer un correctif si une vulnérabilité était détectée.
La société de sécurité blockchain Blockaid a indiqué que sa plateforme de surveillance avait détecté l'activité préparatoire de l'attaquant environ six minutes avant la transaction de vidage exécutée le 14 juin.
Pourquoi les protocoles obsolètes sont-ils attaqués ?
Les incidents aztèquesdentsont pas isolés. Le 15 juin, DeFi le protocole d'options Thetanuts Finance a confirmé une faille de sécurité de 2,1 millions de dollars ciblant un ancien coffre-fort qu'il avait abandonné plusieurs années auparavant. Cette attaque exploitait une vulnérabilité dans la logique de rachat du coffre-fort, selon le chercheur en sécurité ExVul.
Blockful.eth a mis en lumière cette tendance sur X, en écrivant : « Ces derniers jours, nous avons constaté deux failles de sécurité exposant un risque que peu de gens se souviennent exister dans DeFi: d'ancienstraccontenant des millions de dollars inactifs. »
Pour les protocoles qui renoncent aux clés d'administration au nom de la décentralisation, ce compromis peut sembler désavantageux avec le recul, car il semble que les attaquants les aient pris pour cible.
Les pertes liées à l'exploitation de failles de sécurité dans le secteur de la finance décentralisée DeFi ont déjà dépassé les 43 millions de dollars à la mi-juin, selon DefiLlama, et lestracobsolètes semblent représenter une part croissante des cibles potentielles.
Les plus grands experts en cryptomonnaies lisent déjà notre newsletter. Envie d'en faire partie ? Rejoignez-les !
FAQ
Quel montant total a été volé aux Aztèques lors des deuxdent?
La première attaque contre Aztec Connect, le 14 juin, a permis de dérober environ 2,19 millions de dollars, suivie d'une seconde le lendemain qui a permis detrac88 000 dollars, selon l'analyse post-mortem d'Aztec Labs. La seconde attaque, distincte, menée le 17 juin, a ciblé le pont Private Rollup et a coûté environ 2 millions de dollars.
Cela affecte-t-il le réseau Aztec actuel ou le jeton AZTEC ?
Non. Aztec Labs et la Fondation Aztec ont tous deux confirmé que lestracexploités n'ont aucun lien avec le jeton ERC-20 d'AZTEC ni avec aucuntracintelligent lié au réseau Aztec actuel.
Pourquoi cette vulnérabilité ne peut-elle pas être corrigée ?
Aztec Labs a renoncé à tous ses rôles administratifs et à son autorité de mise à niveau sur lestracAztec Connect en avril 2024, les rendant ainsi totalement immuables, selon l'analyse post-mortem de l'équipe. Le produit de paiement obsolète ciblé par la seconde faille de sécurité était également décrit comme untracimmuable par Aztec Labs.
Avertissement : Les informations fournies ne constituent pas un conseil en investissement. CryptopolitanCryptopolitan.com toute responsabilité quant aux investissements réalisés sur la base des informations présentées sur cette page. Nous voustronrecommandons vivement d’effectuer vosdent et/ou de consulter un professionnel qualifié avant toute décision d’investissement.
Hannah Collymore
Hannah est rédactrice et éditrice, forte d'une expérience de près de dix ans dans la rédaction de blogs et la couverture d'événements liés aux cryptomonnaies. Chez Cryptopolitan, elle contribue à la page d'actualités en rédigeant des articles et en analysant les dernières évolutions de la finance décentralisée DeFi, des comptes gérés par les utilisateurs (RWA), de la réglementation des cryptomonnaies, de l'intelligence artificielle (IA) et des technologies de pointe. Elle est diplômée en administration des affaires de l'université Arcadia.
- Quelles cryptomonnaies peuvent vous faire gagner de l'argent ?
- Comment renforcer la sécurité de votre portefeuille (et lesquels valent vraiment la peine d'être utilisés)
- Stratégies d'investissement peu connues utilisées par les professionnels
- Comment débuter en investissement crypto (quelles plateformes d'échange utiliser, quelles cryptomonnaies acheter, etc.)