Aztec Connect、非推奨となった分散型金融（DeFi）プラットフォームは、日曜日に攻撃者が検証関数の欠陥を悪用したことで、約210万ドルが流出しました。Aztec Labsは、このインシデントがプラットフォームのスマートコントラクトに影響したものの、現在のAztec Network上のユーザーや資産は影響を受けていないと述べました。この悪用は、2022年に立ち上げられ、2023年3月に非推奨化されたAztecの古いシステムのバージョンを狙ったものであり、開発の活動が終了した後でもアクセス可能な価値を保持する不変（イミュータブル）スマートコントラクトにおけるセキュリティ上のリスクが継続していることを示しています。
攻撃者が検証と決済の不一致を悪用
暗号セキュリティ企業BlockSecは、根本原因を、Aztec Connectがトランザクションを検証する方法と、そのトランザクションがEthereum上で決済される方法との不一致だと特定しました。BlockSecによれば、Aztec Connectのコントラクト上で検証されたトランザクションは「ZK証明によって強制されるトランザクション集合に、実質的に結び付けられていない」のです。これにより、Ethereum上の検証経路と決済ロジックが「トランザクションのリストを異なる形で解釈する」ことが可能になりました。
この弱点により、攻撃者は、コントラクトが値をクレジットする一方で、Ethereum上でそれを適切に検証しないままトランザクションを配置できました。こうして生じたクレジットは、裏付けのない残高を作り、そこから引き出すことができました。攻撃者は、「7つの異なるアセットにまたがって7回」繰り返しました。
909 ETHと270,000 DAIを含む7つのアセットが盗まれる
盗まれた資産には、909 Ether、270,000 Dai、167のラップド・ステーキングETH、そして他にも複数の暗号資産が含まれていました。Aztec Labsは、約210万ドルが同プラットフォームのスマートコントラクトから移転されたと述べています。この悪用の影響を受けたのはAztec Connectで、これは2022年にDeFiブリッジとして立ち上げられ、チームが次世代のAztec Networkへリソースを移したため、2023年3月に入金が停止されています。
不変のコントラクトが管理者の介入を妨げる
Aztec Labsは次のように述べました。「Aztec Labsは管理者キーを持っておらず、システムを制御することもできません。私たちの手で一時停止したりアップグレードしたりすることはできません。」暗号開発者のParam氏は、Aztec Connectのスマートコントラクトが「完全に不変（イミュータブル）」になり、アップグレードや一時停止ができなくなったと語りました。管理者による制御がないため、疑わしい活動が始まった後に、チームは引き出しを止めたり、検証ロジックを修正したり、露出した残高を凍結したりすることができませんでした。
6月のDeFi悪用は少なくとも合計4,400万ドル
DeFiLlamaのデータによると、今月は複数の悪用により、少なくとも4,400万ドルがこれまでに盗まれています。6月で最大のインシデントは、Humanity Protocolにおける秘密鍵の漏えいで、6月8日に3,000万ドルが失われました。Syscoin Bridgeも、前日の偽の証明による悪用で800万ドルを失いました。現在のAztec Networkは、チームによればAztec Connectの悪用の影響を受けていません。
FAQ
日曜日のAztec Connectの悪用の原因は何でしたか？
攻撃者が、Aztec Connectの検証関数の欠陥を悪用したことにより、ZK証明によって強制されるトランザクション集合に、検証済みトランザクションが実質的に結び付けられていなかったため、Ethereum上での検証経路と決済ロジックがトランザクションのリストを異なる形で解釈できてしまったのです。
Aztec Connectからどれくらいが盗まれ、どんな資産が奪われましたか？
約210万ドルがAztec Connectのスマートコントラクトから流出（流出）し、909 Ether、270,000 Dai、167のラップド・ステーキングETH、そして7種類の異なるアセットにまたがる複数の暗号資産が含まれていました。
