- 별도의 219 만 달러 유출 사건 며칠 후 새로운 200 만 달러 악용 사건 발생
- 최신 아제텍 공격은 수년 전 관리 권한이 포기되어 긴급 개입 메커니즘이 없는 폐기된 롤업 제품을 악용했습니다.
- 이번 공격은 최근 며칠 동안 deprecated(구형) 계약을 대상으로 한 일련의 악용 사례에 추가됩니다.
공격자들은 6월 17일 폐기된 Aztec 결제 제품에서 약 200만 달러를 훔쳤습니다. 이는 프로젝트의 퇴역한 Aztec Connect 브릿지를 표적으로 한 별도의 익스플로잇으로 219만 달러가 유출된 지 며칠 만에 일어난 일입니다.
연이은 사건들은 사용자 자금을 보유하고 있지만 이를 패치할 팀이 없는 버려진 스마트 컨트랙트를 공격하는 해커들의 증가하는 패턴에 추가되었습니다.
폐기된 Aztec 스마트 컨트랙트는 어떻게 익스플로잇되었습니까?
보안 연구원 Cos가 경고 6월 18일 Aztec의 프라이빗 롤업 브릿지 컨트랙트에서 세 가지 의심스러운 거래를 발견했습니다. 이 거래들은 각각 1,158 ETH, 150,000 DAI, 0.47 renBTC였으며, Cos의 X 게시글에 따르면 합계 약 215만 달러에 달했습니다.
Cos가 강조한 표적 컨트랙트는 6월 14일에 침해된 컨트랙트와 동일하지 않습니다.
보안 연구원 thisvishalsingh, X에서 프라이빗 롤업 브릿지 유출이 “며칠 전 폐기된 Aztec Connect 컨트랙트에서 발생한 210만 달러 유출 사건과는 별개의 사건”이라고 확인했습니다.
Aztec Labs는 X에서 “2021년 폐기된 Aztec 결제 제품에 영향을 미치는 잠재적 익스플로잇을 조사 중”이라고 밝혔으며, 해당 컨트랙트를 “2022년에 서드다운된 불변성 스테이지 2 롤업”이라고 설명했습니다.
The Aztec 재단은 “해당 제품은 4년 전에 폐기되었으며 Aztec Labs는 시스템에 대한 어떠한 통제권도 보유하지 않고 있습니다.”라고 밝혔습니다.
The 6월 14 공격, Aztec Labs가 사후 분석을 통해 문서화한 이 공격은 Aztec Connect의 증명 검증 시스템과 온체인 정산 코드가 동일한 트랜잭션 뱅치를 읽는 방식의 결함을 이용했습니다. 증명 시스템은 32개 단위로 행을 확인하는 반면, 정산 코드는 뱅치가 ‘실제’라고 선언한 수만큼만 처리했습니다.
Aztec Labs에 따르면 공격자는 단일 트랜잭션에 압축된 14개의 조작된 롤업 제출을 통해 약 909 ETH, 270,513 DAI, 168 wstETH 및 여러 Yearn 뱅크 토큰을 제거했으며, 총액은 약 219만 달러였습니다.
6월 15일의 후속 공격은 동일한 기법을 남은 DeFi 브릿지 포지션에 사용하여 88,000달러를 가져갔습니다.
Aztec Connect는 2022년에 출시되어 2023년에 폐기된 프라이버시 보호 zk-rollup이었습니다.
2024년 4월, Aztec Labs는 사용자들이 자금을 인출하도록 1년 동안 촉구한 후 온체인에서 모든 관리 역할과 업그레이드 권한을 포기했습니다. 이는 팀의 개입 없이 여전히 자금을 보유한 다른 사용자가 나갈 수 있도록 하기 위한 조치였습니다.
그러나 이는 또한 Aztec 팀이 어떤 취약점이 감지되더라도 수정 프로그램을 배포할 접근 권한이 없음을 의미했습니다.
펙실드알림(PeckShieldAlert) Blockaid는 6월 14일 유출 트랜잭션이 실행되기 약 6분 전에 공격자의 준비 활동을 모니터링 플랫폼이 감지했다고 보고했습니다.
왜 폐기된 프로토콜이 공격의 표적이 됩니까?
Aztec 사건들은 고립된 것이 아닙니다. 6월 15일, DeFi 옵션 프로토콜인 Thetanuts Finance 는 수년 전에 마이그레이션했던 레거시 뱅크를 표적으로 한 210만 달러의 익스플로잇을 확인했습니다. 보안 연구원 ExVul에 따르면 이 공격은 뱅크의 환매 로직 결함을 이용했습니다.
Blockful.eth는 X에서 이 트렌드를 강조하며 “최근 며칠 동안 우리는 DeFi에서 존재한다는 것을 거의 잊고 있던 위험을 드러낸 2개의 익스플로잇을 목격했습니다: 수백만 달러가 유휴 상태로 앉아 있는 오래된 컨트랙트들.”이라고 작성했습니다.
탈중앙화의 이름으로 관리자 키를 포기하는 프로토콜의 경우, 공격자들이 이제 그들을 표적으로 삼은 것으로 보아 사후적으로 볼 때 그 트레이드오프가 나빠 보이고 있습니다.
DefiLlama에 따르면 6월 중순 기준 DeFi의 익스플로잇 손실은 이미 4,300만 달러를 넘어섰으며, 폐기된 컨트랙트는 표적 영역의 점점 더 큰 비중을 차지하고 있는 것으로 보입니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
자주 묻는 질문
두 사건을 합쳐 아제텍에서 총 얼마가 탈취되었습니까?
아제텍 랩스의 사후 분석에 따르면, 6 월 14 일 첫 번째 아제텍 컨넥트 공격으로 약 219 만 달러가 유출되었고 이튿날 8 만 8 천 달러가 추가로 탈취되었습니다. 6 월 17 일에 발생한 두 번째 별개 악용 사건은 프라이빗 롤업 브릿지를 대상으로 약 200 만 달러를 탈취했습니다.
이번 사건이 현재 아제텍 네트워크나 AZTEC 토큰에 영향을 미칩니까?
아닙니다. 아제텍 랩스와 아제텍 재단 모두 악용된 계약이 AZTEC ERC-20 토큰이나 현재 아제텍 네트워크와 관련된 스마트 계약과无任何 연결이 없다고 확인했습니다.
왜 취약점을 수정할 수 없습니까?
Aztec Labs는 2024 년 4 월 팀의 사후 분석에 따라 Aztec Connect 계약에 대한 모든 관리 역할 및 업그레이드 권한을 포기하여 완전히 불변하도록 만들었습니다. 두 번째 공격 대상이 된 비활성화된 결제 제품 또한 Aztec Labs에 의해 불변 계약으로 설명되었습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
한나 콜리모어
한나는 암호화폐 분야에서 거의 10년 간의 블로그 작성 및 이벤트 리포팅 경험을 가진 작가이자 편집자입니다. 크립토폴리탄에서 한나는 뉴스 페이지에 기여하며 DeFi, RWA, 암호화폐 규제, AI 및 프론티어 테크 산업의 최신 동향을 보도하고 분석합니다. 그녀는 아카디아 대학교에서 경영학 학위를 취득했습니다.
