- Um novo exploit de US$ 2 milhões atingiu a Aztec dias após uma violação separada de US$ 2,19 milhões
- O último ataque à Aztec explorou um produto rollup descontinuado cujos controles administrativos foram renunciados há anos, deixando sem mecanismo para intervenção de emergência.
- O ataque soma-se a uma série de exploits que visaram contratos obsoletos nos últimos dias.
Atacantes subiram cerca de US$ 2 milhões de um produto de pagamentos Aztec descontinuado em 17 de junho, vindo apenas alguns dias depois que US$ 2,19 milhões foram perdidos em uma exploração separada que visou a ponte Aztec Connect aposentada do projeto.
Os incidentes em sequência adicionam-se a um padrão crescente de hackers atacando contratos inteligentes abandonados que detêm fundos de usuários, mas não têm equipe capaz de corrigi-los.
Como os contratos inteligentes Aztec descontinuados foram explorados?
Pesquisador de segurança Cos sinalizou três transações suspeitas da ponte de rollup privada da Aztec em 18 de junho. Essas transações foram de 1.158 ETH, 150.000 DAI e 0,47 renBTC, que somaram aproximadamente US$ 2,15 milhões, de acordo com o post de Cos no X.
O contrato visado que Cos destacou não é o mesmo que foi violado em 14 de junho.
Pesquisador de segurança, thisvishalsingh, confirmou no X que o dreno da Private Rollup Bridge “é um incidente separado do dreno de US$ 2,1M no contrato Aztec Connect descontinuado há alguns dias.”
A Aztec Labs disse no X que estava “investigando uma possível exploração que afeta um produto de pagamentos Aztec descontinuado de 2021”, descrevendo o contrato como “um rollup imutável de estágio 2 que foi descontinuado em 2022.”
O A Aztec Foundation afirmou que “o produto foi descontinuado há 4 anos e a Aztec Labs não retém nenhum controle sobre o sistema.”
O Ataque de junho 14, que a Aztec Labs documentou em um post-mortem, explorou uma falha na forma como o sistema de verificação de provas da Aztec Connect e seu código de liquidação on-chain liam o mesmo lote de transações. O sistema de provas verificava linhas em grupos de 32, enquanto o código de liquidação processava apenas quantas o lote declarava como “reais.”
Através de 14 submissões de rollup elaboradas empacotadas em uma única transação, o atacante removeu aproximadamente 909 ETH, 270.513 DAI, 168 wstETH e vários tokens de vaults Yearn, totalizando cerca de US$ 2,19 milhões, de acordo com a Aztec Labs.
Um ataque de acompanhamento em 15 de junho usou a mesma técnica em posições de ponte DeFi restantes e levou US$ 88.000.
A Aztec Connect foi um zk-rollup preservador de privacidade que foi lançado em 2022 e descontinuado em 2023.
Em abril de 2024, a Aztec Labs renunciou a todos os papéis administrativos e autoridade de atualização on-chain após um ano de instar os usuários a retirarem seus fundos. Ela fez isso para permitir que os outros usuários que ainda tinham fundos lá saíssem sem o envolvimento da equipe.
No entanto, isso também significou que a equipe da Aztec não tinha acesso para implementar qualquer correção caso alguma vulnerabilidade fosse detectada.
A firma de segurança blockchain A Blockaid relatou que sua plataforma de monitoramento detectou a atividade de preparação do atacante cerca de seis minutos antes da execução da transação de drenagem em 14 de junho.
Por que protocolos descontinuados estão sob ataque?
Os incidentes da Aztec não são isolados. Em 15 de junho, o protocolo de opções DeFi Thetanuts Finance confirmou uma exploração de US$ 2,1 milhões que visava um cofre legado do qual havia migrado anos antes. Esse ataque explorou uma falha na lógica de resgate do cofre, segundo o pesquisador de segurança ExVul.
Blockful.eth destacou a tendência no X, escrevendo: “Nos últimos dias, tivemos 2 explorações que expuseram um risco que poucos lembram que existe no DeFi: contratos antigos com milhões de dólares parados.”
Para protocolos que renunciam às chaves de administrador em nome da descentralização, a troca pode estar parecendo ruim no retrospecto agora, já que parece que os atacantes fixaram seus olhos neles.
As perdas por explorações em junho no DeFi já ultrapassaram US$ 43 milhões na metade do mês, segundo a DefiLlama, e os contratos descontinuados parecem representar uma parcela crescente da superfície de ataque.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Perguntas Frequentes
Quanto foi roubado da Aztec no total entre os dois incidentes?
O primeiro ataque ao Aztec Connect em 14 de junho drenou aproximadamente US$ 2,19 milhões, com uma extração adicional de US$ 88.000 no dia seguinte, conforme o post-mortem da Aztec Labs. O segundo exploit separado, em 17 de junho, visou a Private Rollup Bridge por cerca de US$ 2 milhões.
Isso afeta a rede atual da Aztec ou o token AZTEC?
Não. Tanto a Aztec Labs quanto a Fundação Aztec confirmaram que os contratos explorados não têm conexão com o token ERC-20 AZTEC nem com nenhum contrato inteligente relacionado à rede atual da Aztec.
Por que a vulnerabilidade não pode ser corrigida?
Em abril de 2024, a Aztec Labs renunciou a todos os papéis administrativos e à autoridade de atualização sobre os contratos Aztec Connect, tornando-os totalmente imutáveis, conforme descrito no post-mortem da equipe. O produto de pagamentos descontinuado visado na segunda exploração também foi descrito como um contrato imutável pela Aztec Labs.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
