Aztec Labs проводит четкую границу с устаревшим продуктом Aztec Connect после эксплойта на $2,1 млн
- Атака на Aztec Connect была вызвана ошибкой в неполной проверке доказательств, которая позволила мошенническим выводам обойти проверки валидации.
- Поскольку Aztec Connect был полностью децентрализованным и заброшенным несколько лет назад, уязвимость невозможно исправить, а протокол нельзя приостановить.
- Aztec Labs и Фонд Aztec подчеркнули, что эксплуатация не затрагивает текущую сеть Aztec или токен AZTEC.
Смарт-контракт Aztec Connect, по сообщениям, потерял $2,1 млн после того, как злоумышленник воспользовался уязвимостью в проверке на мосте конфиденциальности, который был закрыт три года назад. Эта атака также имеет свою особенность: уязвимость находится вне возможности исправления кем-либо, согласно команде Aztec Labs.
По данным компании по безопасности блокчейна BlockSec, похищенные средства включали примерно 909 ETH, 270 000 DAI и 167 wstETH, что было отмечено через их систему мониторинга Phalcon.
До того, как он был признан устаревшим Aztec Labs в марте 2023, Aztec Connect это был мост zk-rollup, позволяющий пользователям взаимодействовать с протоколами DeFi, такими как Aave и Lido, скрывая детали транзакций с помощью доказательств с нулевым разглашением. Aztec Labs прекратила работу своего секвенсора к марту 2024 года.
Токен AZTEC вырос более чем на 5% на момент публикации отчета Cryptoplitan.
Какова была уязвимость, позволившая злоумышленнику эксплуатировать Aztec Connect?
Уязвимость была вызвана несоответствием, связанным с границей между проверенным набором транзакций и обработкой расчетов L1 согласно анализу BlockSec Phalcon в X.
По данным компании по безопасности CertiK, уязвимость заключалась в неполной проверке представленных данных доказательств.
Одна функция контракта проверяла только начало доказательства, в то время как инструкции по переводу токенов, встроенные в другом месте, оставались непроверенными, и именно это позволило злоумышленнику манипулировать выводами средств.
Какова реакция Aztec Labs на эксплуатацию уязвимости?
Aztec Labs подтвердила, что расследует инцидент, но заявила, что у нее нет механизма для вмешательства. «Aztec Connect был признан устаревшим 3 года назад. Aztec Labs не владеет административными ключами или контролем над системой; мы не можем приостановить или обновить ее», — написала команда в X.
В отдельном заявлении Aztec Foundation опубликовала в X сообщение, в котором подчеркнула, что инцидент не имеет никакого отношения к смарт-контрактам, связанным с токеном AZTEC ERC-20, или к текущей сети Aztec, которая фокусируется на частных смарт-контрактах.
«Aztec Connect был признан устаревшим 3 года назад, и Aztec Labs сохраняет контроль над системой», — написала Aztec Foundation.
Когда Aztec Labs свернула работу моста, она отказалась от административных ключей к контрактам, учитывая тот факт, что это был протокол, ориентированный на конфиденциальность. Однако компромисс заключается в том, что как только ключи исчезают, никто не может развернуть исправление, когда возникает уязвимость.
Какова стоимость эксплуатации уязвимости?
Контракты Aztec Connect удерживали около $2,15 млн общей заблокированной стоимости до атаки, согласно Данные DefiLlama, и именно эти средства злоумышленник смог получить.
Средства не находились под мониторингом, и команда не предприняла никаких действий, поскольку любые активы, оставленные внутри них, полностью зависят от целостности исходного кода.
Эксплойт Aztec Connect также выводит на первый план повторяющийся риск для пользователей, которые оставляют свои средства в устаревших контрактах после миграции проекта.
Эксплойты июня продолжают накапливаться
Мы уже находимся в середине июня, и с ростом числа эксплойтов крипто-протоколы, похоже, не могут передохнуть. Май также был отмечен различными эксплойтами, и недавно признанные устаревшими платформы сталкиваются с увеличением числа атак
Cryptopolitan ранее сообщал об эксплойтах, поражающих Gnosis Pay и TesseraDAO в первые дни июня, при этом только TesseraDAO потеряла $2,5 млн в результате атаки «mint-and-dump» в сети BNB Chain.
Согласно Данные DeFiLlama, эксплойты июня уже достигли примерно $43,93 млн совокупных потерь к середине месяца.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Часто задаваемые вопросы
Что такое Aztec Connect и почему он был подвергнут эксплуатации?
Aztec Connect был мостом zk-rollup в Ethereum, обеспечивающим конфиденциальность транзакций DeFi. Он был выведен из эксплуатации в марте 2023 года, и поскольку команда отказалась от административных ключей, ошибку верификации в его неизменяемом смарт-контракте было невозможно исправить, что позволило злоумышленнику вывести около $2,1 млн 14 июня 2026 года.
Влияет ли эксплуатация Aztec Connect на токен AZTEC или текущую сеть Aztec?
Нет. И Aztec Labs, и Фонд Aztec подтвердили, что эксплуатируемые контракты не имеют отношения к токену AZTEC ERC-20 или каким-либо смарт-контрактам, связанным с текущей сетью Aztec.
Как злоумышленник воспользовался уязвимостью контракта?
Согласно анализу BlockSec, корневой причиной стало несоответствие между логикой проверки транзакций роллапа в контракте и его обработкой на уровне L1, что позволило злоумышленнику обмануть контракт и заставить его вывести средства, которые он не должен был.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ханна Коллимор
Ханна — писатель и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптоиндустрии. В Cryptopolitan Ханна работает над новостной страницей, освещая и анализируя последние события в сферах DeFi, RWA, криптовалютного регулирования, искусственного интеллекта и передовых технологий. Она окончила Университет Аркадии со степенью бакалавра делового администрирования.
