Aztec Connect вивели з системи на 2,1 млн доларів після експлойту з підтвердженням

Aztec Connect, застарілу децентралізовану фінансову платформу, у неділю було спорожнено приблизно на 2,1 мільйона доларів після того, як зловмисник скористався вадою в її функції верифікації. Aztec Labs підтвердили, що інцидент вплинув на смартконтракт платформи, але заявили, що користувачі та активи в поточній мережі Aztec Network залишилися незачепленими. Експлойт націлювався на стару версію системи Aztec, запущену у 2022 році та застарілу в березні 2023 року, підкресливши стійкі ризики безпеки в незмінних смартконтрактах, які зберігають доступну вартість навіть після завершення активної розробки.

Зловмисник використав невідповідність верифікації та розрахунків

Криптобезпекова компанія BlockSec визначила першопричину як невідповідність між тим, як Aztec Connect верифікує транзакції, і тим, як ці транзакції розраховуються в Ethereum. За даними BlockSec, верифіковані транзакції в смартконтракті Aztec Connect були «неефективно прив’язані до набору транзакцій, що застосовується ZK-доказом». Це дозволило шляху верифікації та логіці розрахунків на Ethereum «по-іншому інтерпретувати список транзакцій».

Ця слабкість дала змогу зловмиснику розміщувати транзакції, коли контракт зараховував цінність, не валідуючи її належним чином в Ethereum. Ці нарахування створили незабезпечені баланси, які потім можна було вивести. Зловмисник повторив цей процес сім разів для семи різних активів.

Вкрадено сім активів, зокрема 909 ETH і 270,000 DAI

Серед вкрадених активів були 909 Ether, 270,000 Dai, 167 обгорнутого staked ETH і кілька інших криптовалют. Aztec Labs заявили, що близько 2,1 мільйона доларів було переказано з смартконтракту платформи. Експлойт зачепив Aztec Connect, який запустили у 2022 році як DeFi-міст, а депозити зупинили в березні 2023 року, коли команда спрямувала ресурси на наступне покоління Aztec Network.

Незмінні контракти не дозволили втручання адміністрації

Aztec Labs заявили: «Aztec Labs не має адмінключів або контролю над системою; ми не можемо її призупинити чи оновити». Розробник криптопродуктів Param сказав, що смартконтракти Aztec Connect стали «повністю незмінними» і більше не могли бути оновлені або призупинені. Без адмінконтролю команда не могла зупинити виведення, виправити логіку верифікації чи заморозити баланси, що були розкриті, після початку підозрілої активності.

Експлойти в DeFi в червні склали щонайменше 44 мільйони доларів

Щонайменше 44 мільйони доларів було викрадено станом на цей місяць у межах кількох експлойтів, за даними DeFiLlama. Найбільший інцидент у червні — компрометація приватного ключа в Humanity Protocol, де 30 мільйонів доларів втратили 8 червня. Syscoin Bridge також втратив 8 мільйонів доларів у фейковому експлойті з доказом напередодні. Поточна Aztec Network, за словами команди, не була зачеплена експлойтом Aztec Connect.

FAQ

Що спричинило експлойт Aztec Connect у неділю?
Зловмисник використав ваду в функції верифікації Aztec Connect, де верифіковані транзакції неефективно прив’язувалися до набору транзакцій, який застосовується ZK-доказом, що дозволяло шляху верифікації та логіці розрахунків на Ethereum по-іншому інтерпретувати список транзакцій.

Скільки вкрали з Aztec Connect і які активи було взято?
Приблизно 2,1 мільйона доларів було виведено з смартконтракту Aztec Connect, включно з 909 Ether, 270,000 Dai, 167 обгорнутого staked ETH і кількома іншими криптовалютами в межах семи різних активів.