Хакеры похитили продукцию Aztec на сумму 2 миллиона долларов в результате второй хакерской атаки за неделю

17 июня злоумышленники похитили около 2 миллионов долларов из устаревшего платежного продукта Aztec Payments, всего через несколько дней после того, как в результате другой атаки, направленной на закрытый мост Aztec Connect, было потеряно 2,19 миллиона долларов. 

Эти дваdentпроизошедшие один за другим, усугубляют растущую тенденцию атак хакеров на заброшенные смарт-trac, хранящие средства пользователей, но не имеющие команды, способной их исправить.

Каким образом были использованы уязвимости в устаревших смарт-tracAztec?

Исследователь безопасности Cos обнаружил моста Aztectracот 18 июня. Эти транзакции составили 1158 ETH, 150 000 DAI и 0,47 renBTC, что, согласно сообщению Cos на X, в сумме составляет приблизительно 2,15 миллиона долларов.

trac, на который обратил внимание Кос, не является тем же самым, который был нарушен 14 июня. 

Исследователь в области безопасности thisvishalsinghподтвердил на X, что утечка через частный мост Rollup Bridge «является отдельным инцидентомdent утечки средств на сумму 2,1 млн долларов в рамках устаревшего контракта Aztec Connect,tracнесколько дней назад».

Компания Aztec Labs сообщила на платформе X, что «расследует потенциальную уязвимость, затрагивающую устаревший платежный продукт Aztec Payments 2021 года», описавtracкак «неизменяемый накопительный контракт второго этапа, который был снят с поддержки в 2022 году»

Фонд Aztec заявил , что «продукт был снят с производства 4 года назад, и компания Aztec Labs не имеет никакого контроля над системой».

Атака 14 июня, которую Aztec Labs задокументировала в своем анализе последствий, использовала уязвимость в том, как система проверки доказательств Aztec Connect и ее код расчетов в блокчейне считывали один и тот же пакет транзакций. Система проверки доказательств проверяла строки группами по 32, в то время как код расчетов обрабатывал только то количество строк, которое пакет объявлял «реальным». 

По данным Aztec Labs, с помощью 14 специально созданных транзакций, объединенных в одну, злоумышленник похитил приблизительно 909 ETH, 270 513 DAI, 168 wstETH и несколько токенов из хранилища Yearn на общую сумму около 2,19 миллиона долларов.

В ходе последующей атаки 15 июня, используя ту же технику, были похищены оставшиеся позиции DeFi мостах, в результате чего было украдено 88 000 долларов.

Aztec Connect представлял собой zk-rollup, обеспечивающий конфиденциальность, который был запущен в 2022 году и снят с поддержки в 2023 году. 

В апреле 2024 года Aztec Labs отказалась от всех административных ролей и полномочий по обновлению блокчейна после года призывов к пользователям вывести средства. Это было сделано для того, чтобы позволить другим пользователям, у которых еще оставались средства, выйти из системы без вмешательства команды. 

Однако это также означало, что у команды Aztec не было доступа к развертыванию каких-либо исправлений в случае обнаружения уязвимости.

Компания Blockaid, специализирующаяся на безопасности блокчейна, сообщила , что ее платформа мониторинга обнаружила подготовительные действия злоумышленника примерно за шесть минут до совершения транзакции по извлечению средств 14 июня. 

Почему устаревшие протоколы подвергаются атакам?

с Aztecdentне являются единичными случаями. 15 июня DeFi протокол Thetanuts Finance подтвердил эксплуатацию уязвимости на сумму 2,1 миллиона долларов, направленной на устаревшее хранилище, от которого компания перешла несколько лет назад. По данным исследователя безопасности ExVul, эта атака использовала недостаток в логике погашения в хранилище.

Blockful.eth обратил внимание на эту тенденцию на X, написав: «В последние дни мы обнаружили 2 уязвимости, выявившие риск, о существовании которого в DeFiмало кто помнит: старыеtracс миллионами долларов, простаивающие без дела»

Для протоколов, которые отказываются от административных ключей во имя децентрализации, этот компромисс сейчас может выглядеть невыгодным, поскольку, похоже, злоумышленники нацелились именно на них. 

По данным DefiLlama, потери от эксплойтов в DeFi в июне уже превысили 43 миллиона долларов к середине месяца, и, судя по всему, доля устаревшихtracна целевой платформе растет.