Des pirates dérobent des actifs Aztec d'une valeur de 2M lors du deuxième piratage en une semaine
- Une nouvelle exploitation de 2 millions de dollars a frappé Aztec quelques jours après une autre brèche de 2,19 millions de dollars
- La dernière attaque contre Aztec a exploité un produit rollup retiré dont les contrôles administratifs avaient été renoncés il y a plusieurs années, ne laissant aucun mécanisme d'intervention d'urgence.
- Cette attaque s'ajoute à une série d'exploitations ayant ciblé des contrats obsolètes ces derniers jours.
Les attaquants ont volé environ 2 millions de dollars sur un produit de paiement Aztec obsolète le 17 juin, seulement quelques jours après la perte de 2,19 millions de dollars dans un autre exploit ciblant le pont Aztec Connect retiré du projet.
Ces incidents consécutifs s’ajoutent à une tendance croissante de pirates attaquant des contrats intelligents abandonnés qui détiennent des fonds utilisateurs mais n’ont aucune équipe capable de les corriger.
Comment les contrats intelligents obsolètes d’Aztec ont-ils été exploités ?
Le chercheur en sécurité Cos a signalé trois transactions suspectes provenant du contrat de pont privé rollup d’Aztec le 18 juin. Ces transactions comprenaient 1 158 ETH, 150 000 DAI et 0,47 renBTC, totalisant environ 2,15 millions de dollars selon le post de Cos sur X.
Le contrat ciblé par Cos n’est pas le même que celui qui a été compromis le 14 juin.
Le chercheur en sécurité, thisvishalsingh, a confirmé sur X que le vidage du Private Rollup Bridge « est un incident distinct du vidage de 2,1 millions de dollars sur le contrat Aztec Connect obsolète il y a quelques jours. »
Aztec Labs a déclaré sur X qu’il « enquêtait sur un exploit potentiel affectant un produit de paiement Aztec obsolète de 2021 », décrivant le contrat comme « un rollup de stade 2 immuable qui a été abandonné en 2022. »
Le La Fondation Aztec a déclaré que « le produit a été obsolétisé il y a 4 ans et Aztec Labs ne conserve aucun contrôle sur le système. »
Le Attaque du 14 juin, qu’Aztec Labs a documentée dans un rapport post-mortem, a exploité une faille dans la façon dont le système de vérification des preuves d’Aztec Connect et son code de règlement on-chain lisaient le même lot de transactions. Le système de vérification vérifiait les lignes par groupes de 32, tandis que le code de traitement ne traitait que le nombre de lignes que le lot déclarait comme « réelles. »
À travers 14 soumissions de rollup fabriquées et regroupées en une seule transaction, l’attaquant a retiré environ 909 ETH, 270 513 DAI, 168 wstETH et plusieurs jetons de vault Yearn, totalisant environ 2,19 millions de dollars, selon Aztec Labs.
Une attaque de suivi le 15 juin a utilisé la même technique sur les positions de pont DeFi restantes et a emporté 88 000 dollars.
Aztec Connect était un zk-rollup préservant la vie privée, lancé en 2022 et obsolétisé en 2023.
En avril 2024, Aztec Labs a renoncé à tous les rôles administratifs et à l’autorité de mise à niveau on-chain après un an d’exhortations aux utilisateurs à retirer leurs fonds. Il a fait cela pour permettre aux autres utilisateurs qui avaient encore des fonds de sortir sans l’implication de l’équipe.
Cela signifiait également que l’équipe Aztec n’avait aucun accès pour déployer une correction si une vulnérabilité était détectée.
Le firm de sécurité blockchain Blockaid a signalé que sa plateforme de surveillance a détecté les activités de préparation de l’attaquant environ six minutes avant l’exécution de la transaction de vidage le 14 juin.
Pourquoi les protocoles obsolètes sont-ils attaqués ?
Les incidents Aztec ne sont pas isolés. Le 15 juin, le protocole d’options DeFi Thetanuts Finance a confirmé un exploit de 2,1 millions de dollars ciblant un vault hérité dont il s’était éloigné il y a plusieurs années. Cette attaque a exploité une faille dans la logique de rachat du vault, selon le chercheur en sécurité ExVul.
Blockful.eth a mis en évidence la tendance sur X, écrivant : « Ces derniers jours, nous avons eu 2 exploits exposant un risque que peu de gens se souviennent exister dans DeFi : d’anciens contrats avec des millions de dollars assis sans rien faire. »
Pour les protocoles qui renoncent aux clés d’administration au nom de la décentralisation, le compromis peut sembler mauvais en rétrospective, car il semble que les attaquants aient fixé leurs vues sur eux.
Les pertes dues aux exploits de juin dans DeFi ont déjà dépassé 43 millions de dollars à mi-mois, selon DefiLlama, et les contrats obsolètes semblent représenter une part croissante de la surface cible.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Quel montant total a été volé sur Aztec au cours des deux incidents ?
Selon le rapport post-mortem d'Aztec Labs, la première attaque contre Aztec Connect le 14 juin a drainé environ 2,19 millions de dollars, avec un prélèvement complémentaire de 88 000 dollars le lendemain. La seconde exploitation, distincte, survenue le 17 juin, a ciblé le Private Rollup Bridge pour un montant d'environ 2 millions de dollars.
Cela affecte-t-il le réseau Aztec actuel ou le token AZTEC ?
Non. Ni Aztec Labs ni la Fondation Aztec n'ont confirmé que les contrats exploités avaient un lien avec le jeton ERC-20 AZTEC ou tout contrat intelligent lié au réseau Aztec actuel.
Pourquoi la vulnérabilité ne peut-elle pas être corrigée ?
Selon le rapport post-mortem de l'équipe, Aztec Labs a renoncé à tous les rôles administratifs et à l'autorité de mise à niveau des contrats Aztec Connect en avril 2024, les rendant ainsi entièrement immuables. Le produit de paiement obsolète ciblé par la seconde exploitation a également été décrit comme un contrat immuable par Aztec Labs.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
