黑客在一周内第二次入侵Aztec，盗走$2M

攻击者于6月17日从Aztec的一个已弃用的支付产品中窃取了约200万美元，这发生在几天前另一处漏洞导致Aztec Connect桥（该项目已退役）损失219万美元之后。 

这些接连发生的事件加剧了黑客攻击持有用户资金但无团队能够修补的废弃智能合约的趋势。

Aztec的废弃智能合约是如何被利用的？

安全研究员 Cos 在6月18日标记了来自Aztec私有rollup桥合约的三笔可疑交易。这些交易涉及1,158 ETH、150,000 DAI和0.47 renBTC，根据Cos在X上的帖子，总计约为215万美元。

Cos强调的目标合约与6月14日被入侵的合约不同。 

安全研究员， thisvishalsingh，在X上确认，私有Rollup桥的流失“与几天前废弃的Aztec Connect合约上210万美元的流失是分开的事故。”

Aztec Labs在X上表示，正在“调查可能影响2021年Aztec支付产品的潜在漏洞”，将该合约描述为“2022年停用的不可变阶段2 rollup”。

The Aztec基金会声明 “该产品已于4年前停止服务，Aztec Labs 不再对该系统拥有任何控制权。”

The 6月 14 攻击Aztec Labs 在事后报告中记录了此次攻击，该攻击利用了 Aztec Connect 的证明验证系统与其链上结算代码在读取同一批交易时的逻辑差异。证明系统以32行为一组进行检查，而结算代码仅处理该批次声明为“真实”的交易数量。 

据 Aztec Labs 称，攻击者通过在单个交易中打包14个精心构造的 rollup 提交，盗取了约909 ETH、270,513 DAI、168 wstETH 以及若干 Yearn 金库代币，总价值约219万美元。

6月15日的一次后续攻击使用了相同的技术，针对剩余的 DeFi 桥接头寸，盗走了8.8万美元。

Aztec Connect 是一个隐私保护的 zk-rollup 项目，于2022年推出，并于2023年停止服务。 

2024年4月，在敦促用户提款一年后，Aztec Labs 放弃了链上所有管理角色和升级权限。此举旨在让仍持有资金的其他用户能够退出，而无需团队介入。 

然而，这也意味着如果检测到任何漏洞，Aztec 团队将无法部署任何修复程序。

区块链安全公司 Blockaid 报告称 其监控平台在6月14日盗币交易执行前约六分钟检测到了攻击者的准备活动。 

为何已停止服务的协议会成为攻击目标？

Aztec 事件并非孤例。6月15日，DeFi 期权协议 Thetanuts Finance 确认遭到210万美元的漏洞利用攻击，目标是一个多年前已迁移的旧金库。安全研究员 ExVul 指出，该攻击利用了金库赎回逻辑中的缺陷。

Blockful.eth 在 X 平台上强调了这一趋势，写道：“在过去几天里，我们发生了两起漏洞利用事件，暴露了 DeFi 中一个鲜有人记得的风险：闲置着数百万美元的旧合约。”

对于为了去中心化而放弃管理员密钥的协议来说，这种权衡在 retrospect 看来可能并不理想，因为攻击者似乎已将目光锁定在它们身上。 

据 DefiLlama 数据，截至月中，DeFi 领域的漏洞利用损失已超过4300万美元，且已停止服务的合约似乎正成为攻击目标中日益增长的一部分。