Gli hacker saccheggiano Aztec per $2M nella seconda rapina in una settimana
- Un nuovo exploit da 2 milioni di dollari ha colpito Aztec pochi giorni dopo un altro furto da 2,19 milioni di dollari
- L'ultimo attacco ad Aztec ha sfruttato un prodotto rollup dismesso i cui controlli amministrativi erano stati rinunciati anni fa, lasciando senza alcun meccanismo per interventi di emergenza.
- L'attacco si aggiunge a una serie di exploit che hanno preso di mira contratti deprecati negli ultimi giorni.
Gli attaccanti hanno sottratto circa 2 milioni di dollari da un prodotto di pagamento Aztec deprecato il 17 giugno, a pochi giorni dalla perdita di 2,19 milioni di dollari in un exploit separato che ha preso di mira il ponte Aztec Connect ritirato del progetto.
Gli incidenti consecutivi si aggiungono a un modello crescente di hacker che attaccano contratti intelligenti abbandonati che detengono fondi utente ma non hanno un team in grado di patcharli.
Come sono stati sfruttati i contratti intelligenti Aztec deprecati?
Il ricercatore di sicurezza Cos ha segnalato tre transazioni sospette dal contratto del ponte rollup privato di Aztec il 18 giugno. Queste transazioni erano 1.158 ETH, 150.000 DAI e 0,47 renBTC, che sommati ammontavano a circa 2,15 milioni di dollari secondo il post di Cos su X.
Il contratto preso di mira evidenziato da Cos non è lo stesso che è stato violato il 14 giugno.
Ricercatore di sicurezza, thisvishalsingh, ha confermato su X che il drenaggio del Private Rollup Bridge "è un incidente separato dal drenaggio di $2,1M sul contratto Aztec Connect deprecato pochi giorni fa."
Aztec Labs ha dichiarato su X che stava "indagando su un potenziale exploit che colpisce un prodotto di pagamento Aztec deprecato del 2021", descrivendo il contratto come "un rollup di fase 2 immutabile che è stato ritirato nel 2022."
Il La Fondazione Aztec ha dichiarato che "il prodotto è stato deprecato 4 anni fa e Aztec Labs non conserva alcun controllo sul sistema."
Il Attacco del 14 giugno, che Aztec Labs ha documentato in un post-mortem, ha sfruttato un difetto nel modo in cui il sistema di verifica delle prove di Aztec Connect e il suo codice di insediamento on-chain leggevano lo stesso batch di transazioni. Il sistema di verifica controllava le righe in gruppi di 32, mentre il codice di insediamento elaborava solo quante ne dichiarava il batch come "reali."
Attraverso 14 sottomissioni rollup create ad hoc impaccate in una singola transazione, l'attaccante ha rimosso circa 909 ETH, 270.513 DAI, 168 wstETH e diversi token Yearn vault, per un totale di circa 2,19 milioni di dollari, secondo Aztec Labs.
Un attacco di follow-up il 15 giugno ha utilizzato la stessa tecnica sulle posizioni di bridge DeFi rimaste e ha portato via 88.000 dollari.
Aztec Connect era uno zk-rollup che preservava la privacy, lanciato nel 2022 e deprecato nel 2023.
Ad aprile 2024, Aztec Labs ha rinunciato a tutti i ruoli amministrativi e all'autorità di aggiornamento on-chain dopo un anno di sollecitazioni agli utenti a prelevare. L'ha fatto per permettere agli altri utenti che avevano ancora fondi lì di uscire senza il coinvolgimento del team.
Tuttavia, ciò significava anche che il team di Aztec non aveva accesso per implementare alcuna correzione nel caso in cui venisse rilevata una vulnerabilità.
L'azienda di sicurezza blockchain Blockaid ha segnalato che la sua piattaforma di monitoraggio ha rilevato l'attività di preparazione dell'attaccante circa sei minuti prima che la transazione di drenaggio venisse eseguita il 14 giugno.
Perché i protocolli deprecati sono sotto attacco?
Gli incidenti di Aztec non sono isolati. Il 15 giugno, il protocollo di opzioni DeFi Thetanuts Finance ha confermato un exploit da 2,1 milioni di dollari che mirava a una vault legacy da cui si era allontanato anni prima. Secondo il ricercatore di sicurezza ExVul, quell'attacco ha sfruttato una falla nella logica di riscatto della vault.
Blockful.eth ha evidenziato questa tendenza su X, scrivendo: "Negli ultimi giorni, abbiamo avuto 2 exploit che hanno esposto un rischio che pochi ricordano esistere nel DeFi: vecchi contratti con milioni di dollari seduti inattivi."
Per i protocolli che rinunciano alle chiavi di amministrazione in nome della decentralizzazione, il compromesso potrebbe apparire negativo in retrospect, poiché sembra che gli attaccanti abbiano puntato su di essi.
Le perdite dovute agli exploit nel mese di giugno nel DeFi hanno già superato i 43 milioni di dollari a metà mese, secondo DefiLlama, e i contratti deprecati sembrano rappresentare una quota crescente della superficie di attacco.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Quanto è stato rubato complessivamente da Aztec nei due incidenti?
Il primo attacco ad Aztec Connect il 14 giugno ha drenato circa 2,19 milioni di dollari, con un prelievo aggiuntivo di 88.000 dollari il giorno successivo, secondo l'analisi post-mortem di Aztec Labs. Il secondo exploit separato del 17 giugno ha preso di mira il Private Rollup Bridge per circa 2 milioni di dollari.
Questo influisce sulla rete Aztec attuale o sul token AZTEC?
No. Sia Aztec Labs che la Fondazione Aztec hanno confermato che i contratti sfruttati non hanno alcuna connessione con il token ERC-20 AZTEC né con qualsiasi smart contract legato all'attuale rete Aztec.
Perché la vulnerabilità non può essere risolta?
Nel post-mortem del team, Aztec Labs ha dichiarato di aver rinunciato a tutti i ruoli amministrativi e all'autorità di aggiornamento sui contratti Aztec Connect nell'aprile 2024, rendendoli completamente immutabili. Anche il prodotto pagamenti deprecato preso di mira nel secondo exploit è stato descritto da Aztec Labs come un contratto immutabile.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
