Aztec Connect esvaziado em 2,1 milhões de dólares após exploração de verificação

A Aztec Connect, uma plataforma de finanças descentralizadas descontinuada, foi esvaziada de aproximadamente 2,1 milhões de dólares no domingo, depois de um atacante explorar uma falha na sua função de verificação. A Aztec Labs confirmou que o incidente afetou o contrato inteligente da plataforma, mas afirmou que os utilizadores e os ativos na atual Aztec Network não foram afetados. O exploit visou uma versão antiga do sistema da Aztec lançada em 2022 e descontinuada em março de 2023, destacando riscos de segurança persistentes em contratos inteligentes imutáveis que mantêm valor acessível mesmo depois de o desenvolvimento ativo ter terminado.

O atacante explorou uma divergência entre verificação e liquidação

A empresa de segurança cripto BlockSec identificou a causa raiz como uma divergência entre a forma como a Aztec Connect verificava transações e a forma como essas transações eram liquidadas na Ethereum. Segundo a BlockSec, as transações verificadas no contrato da Aztec Connect «não estavam efetivamente ligadas ao conjunto de transações imposto pela prova ZK». Isso permitiu que o caminho de verificação e a lógica de liquidação na Ethereum «interpretassem a lista de transações de forma diferente».

A fragilidade permitiu que o atacante colocasse transações em que o contrato creditava valor sem o validar corretamente na Ethereum. Esses créditos criaram saldos não suportados que, depois, podiam ser levantados. O atacante repetiu este processo sete vezes, em sete ativos diferentes.

Sete ativos roubados, incluindo 909 ETH e 270.000 DAI

Os ativos roubados incluíam 909 Ether, 270.000 Dai, 167 ETH em wrapper de staking e várias outras criptomoedas. A Aztec Labs disse que cerca de 2,1 milhões de dólares foram transferidos do contrato inteligente da plataforma. O exploit afetou a Aztec Connect, que foi lançada em 2022 como uma ponte DeFi e teve depósitos suspensos em março de 2023, quando a equipa desviou recursos para a Aztec Network da próxima geração.

Contratos imutáveis impediram a intervenção do admin

A Aztec Labs afirmou: «A Aztec Labs não detém chaves de administrador nem controlo sobre o sistema; não pode ser pausado ou atualizado por nós.» O programador cripto Param disse que os contratos inteligentes da Aztec Connect se tornaram «totalmente imutáveis» e deixaram de poder ser atualizados ou pausados. Sem controlos de admin, a equipa não conseguiu parar levantamentos, corrigir a lógica de verificação, nem congelar saldos expostos após o início da atividade suspeita.

Exploits DeFi de junho totalizaram pelo menos 44 milhões de dólares

Pelo menos 44 milhões de dólares já foram roubados até agora este mês, através de múltiplos exploits, segundo dados da DeFiLlama. O maior incidente de junho foi uma quebra de chave privada no Humanity Protocol, em que foram perdidos 30 milhões de dólares a 8 de junho. A Syscoin Bridge também perdeu 8 milhões de dólares num exploit de prova falsa no dia anterior. A equipa disse que a atual Aztec Network não foi afetada pelo exploit da Aztec Connect.

FAQ

O que causou o exploit da Aztec Connect no domingo? Um atacante explorou uma falha na função de verificação da Aztec Connect, em que as transações verificadas não estavam efetivamente ligadas ao conjunto de transações imposto pela prova ZK, permitindo que o caminho de verificação e a lógica de liquidação na Ethereum interpretassem a lista de transações de forma diferente.

Quanto foi roubado da Aztec Connect e que ativos foram levados? Cerca de 2,1 milhões de dólares foram drenados do contrato inteligente da Aztec Connect, incluindo 909 Ether, 270.000 Dai, 167 ETH com wrapper de staking, e várias outras criptomoedas em sete ativos diferentes.