- Свежая атака с хищением 2 млн долларов произошла в сети Aztec спустя несколько дней после отдельного инцидента на сумму 2,19 млн долларов
- Последняя атака на Aztec использовала устаревший продукт rollup, административные права которого были отозваны несколько лет назад, что исключило возможность экстренного вмешательства.
- Эта атака добавляется к серии взломов, направленных на устаревшие контракты в последние дни.
17 июня злоумышленники вывели около $2 млн из устаревшего платежного продукта Aztec, всего через несколько дней после того, как в результате отдельного взлома было потеряно $2,19 млн, нацеленного на выведенный из эксплуатации мост Aztec Connect проекта.
Эти инциденты, последовавшие один за другим, добавляют растущую тенденцию атак хакеров на заброшенные смарт-контракты, которые хранят средства пользователей, но не имеют команды, способной их исправить.
Как были эксплуатированы устаревшие смарт-контракты Aztec?
Исследователь безопасности Cos отметил три подозрительные транзакции из контракта приватного моста Aztec 18 июня. Эти транзакции составили 1 158 ETH, 150 000 DAI и 0,47 renBTC, что в сумме составило около $2,15 млн, согласно посту Cos в X.
Целевой контракт, на который указал Cos, не является тем же самым, который был взломан 14 июня.
Исследователь безопасности, thisvishalsingh, подтвердил в X, что опустошение Private Rollup Bridge «является отдельным инцидентом от опустошения $2,1M в устаревшем контракте Aztec Connect несколько дней назад.»
Aztec Labs заявила в X, что «расследует потенциальную эксплуатацию, затрагивающую устаревший платежный продукт Aztec 2021 года», описав контракт как «неизменяемый рооллап 2-го уровня, который был прекращен в 2022 году.»
Корпоративные Aztec Foundation заявила что «продукт был устаревшим 4 года назад, и Aztec Labs не сохраняет никаких контролей над системой.»
Корпоративные Атака в июне 14, которую Aztec Labs задокументировала в отчете о разборе полетов, эксплуатировала уязвимость в том, как система проверки доказательств Aztec Connect и ее код ончейн-расчета считывали одну и ту же партию транзакций. Система проверки проверяла строки группами по 32, в то время как код расчета обрабатывал только то количество, которое партия объявляла как «реальное.»
Через 14 специально созданных рооллап-субмиссий, упакованных в одну транзакцию, злоумышленник вывел примерно 909 ETH, 270 513 DAI, 168 wstETH и несколько токенов Yearn vault, что в сумме составило около $2,19 млн, согласно Aztec Labs.
Последующая атака 15 июня использовала ту же технику на оставшихся позициях DeFi-моста и вывела $88 000.
Aztec Connect был zk-rollup с сохранением конфиденциальности, запущенный в 2022 году и устаревший в 2023 году.
В апреле 2024 года Aztec Labs отказалась от всех административных ролей и прав на обновление ончейн после года призывов к пользователям выводить средства. Это было сделано для того, чтобы позволить другим пользователям, у которых все еще были средства там, выйти без участия команды.
Однако это также означало, что у команды Aztec не было доступа для развертывания какого-либо исправления, если будет обнаружена какая-либо уязвимость.
Компания по безопасности блокчейна Blockaid сообщил что его платформа мониторинга обнаружила подготовительную деятельность злоумышленника примерно за шесть минут до выполнения транзакции опустошения 14 июня.
Почему устаревшие протоколы подвергаются атакам?
Инциденты с Aztec не изолированы. 15 июня протокол DeFi-опционов Thetanuts Finance подтвердил эксплуатацию на $2,1 млн, нацеленную на устаревший сводный счет, от которого они отказались несколько лет назад. Эта атака эксплуатировала уязвимость в логике выкупа сводного счета, согласно исследователю безопасности ExVul.
Blockful.eth выделил эту тенденцию в X, написав: «За последние дни у нас было 2 эксплуатации, раскрывающие риск, о котором мало кто помнит, что он существует в DeFi: старые контракты с миллионами долларов, лежащими без дела.»
Для протоколов, отказывающихся от административных ключей во имя децентрализации, компромисс может выглядеть плохо в ретроспективе сейчас, поскольку кажется, что злоумышленники нацелились именно на них.
Потери от эксплойтов в DeFi в июне уже превысили $43 млн к середине месяца, согласно DefiLlama, и устаревшие контракты, похоже, составляют растущую долю целевой поверхности.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Часто задаваемые вопросы
Какова общая сумма украденных из Aztec средств по обоим инцидентам?
Первая атака на Aztec Connect 14 июня привела к выводу примерно 2,19 млн долларов, а последующая — ещё 88 000 долларов на следующий день, согласно постмортему Aztec Labs. Второй, отдельный инцидент 17 июня был направлен на Private Rollup Bridge и принёс злоумышленникам около 2 млн долларов.
Влияет ли это на текущую сеть Aztec или токен AZTEC?
Нет. И Aztec Labs, и Фонд Aztec подтвердили, что эксплуатируемые контракты не имеют отношения к токену AZTEC ERC-20 или каким-либо смарт-контрактам, связанным с текущей сетью Aztec.
Почему уязвимость нельзя исправить?
Согласно постмортему команды, Aztec Labs отказалась от всех административных ролей и прав на обновление контрактов Aztec Connect в апреле 2024 года, сделав их полностью неизменяемыми. Устаревший платёжный продукт, ставший целью второго взлома, также описан Aztec Labs как неизменяемый контракт.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ханна Коллимор
Ханна — писатель и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптоиндустрии. В Cryptopolitan Ханна работает над новостной страницей, освещая и анализируя последние события в сферах DeFi, RWA, криптовалютного регулирования, искусственного интеллекта и передовых технологий. Она окончила Университет Аркадии со степенью бакалавра делового администрирования.
