Aztec Connect выведен из строя на сумму $2,1 млн после эксплойта при проверке

Aztec Connect, устаревшая децентрализованная платформа DeFi, в воскресенье была опустошена примерно на 2,1 миллиона долларов после того, как злоумышленник использовал уязвимость в ее функции верификации. Aztec Labs подтвердила, что инцидент затронул платформенный смарт-контракт, но заявила, что пользователи и активы в текущей сети Aztec Network не пострадали. Эксплойт нацелился на старую версию системы Aztec, запущенную в 2022 году и отключенную в марте 2023 года, что подчеркнуло сохраняющиеся риски безопасности в неизменяемых смарт-контрактах, которые сохраняют доступную ценность даже после завершения активной разработки.

Злоумышленник использовал несоответствие верификации и расчётов

Компания по кибербезопасности BlockSec определила первопричину как несоответствие между тем, как Aztec Connect верифицирует транзакции, и тем, как эти транзакции затем рассчитываются в Ethereum. По данным BlockSec, верифицированные транзакции в контракте Aztec Connect были «неэффективно связаны с набором транзакций, принудительно обеспечиваемым ZK-доказательством». Это позволило пути верификации и логике расчётов на Ethereum «по-разному интерпретировать список транзакций».

Слабость позволила атакующему размещать транзакции, при которых контракт начислял ценность, не выполняя ее корректную валидацию в Ethereum. Эти начисления создавали несопровождаемые обеспечением балансы, которые затем можно было вывести. Злоумышленник повторил этот процесс семь раз по семи разным активам.

Украдены семь активов, включая 909 ETH и 270 000 DAI

Среди украденных активов были 909 Ether, 270 000 Dai, 167 wrapped staked ETH и несколько других криптовалют. Aztec Labs сообщила, что около 2,1 миллиона долларов было переведено из смарт-контракта платформы. Эксплойт затронул Aztec Connect, который запустили в 2022 году как DeFi-мост, а депозиты остановили в марте 2023 года, когда команда перенаправила ресурсы на сеть Aztec Network следующего поколения.

Неизменяемые контракты не позволили админ-вмешательство

Aztec Labs заявила: «Aztec Labs не имеет ключей администратора или контроля над системой; мы не можем поставить ее на паузу или выполнить апгрейд». Разработчик в криптоиндустрии Param сказал, что смарт-контракты Aztec Connect стали «полностью неизменяемыми» и больше не могли быть обновлены или поставлены на паузу. Без админ-контролей команда не могла остановить выводы, исправить логику верификации или заморозить раскрытые балансы после начала подозрительной активности.

Эксплойты в DeFi в июне уже составили как минимум 44 миллиона долларов

Как минимум 44 миллиона долларов было украдено в этом месяце пока что — по данным DeFiLlama — в рамках нескольких эксплойтов. Самый крупный инцидент в июне — компрометация приватного ключа в Humanity Protocol, где 30 миллионов долларов потеряли 8 июня. Syscoin Bridge также лишился 8 миллионов долларов в предыдущий день из-за эксплойта с поддельным доказательством. Текущая сеть Aztec Network, по словам команды, не была затронута эксплойтом Aztec Connect.

FAQ

Что стало причиной эксплойта Aztec Connect в воскресенье? Злоумышленник использовал уязвимость в функции верификации Aztec Connect, где верифицированные транзакции были неэффективно связаны с набором транзакций, принудительно обеспечиваемым ZK-доказательством, что позволило пути верификации и логике расчётов на Ethereum по-разному интерпретировать список транзакций.

Сколько украли из Aztec Connect и какие активы были взяты? Из смарт-контракта Aztec Connect было слито примерно 2,1 миллиона долларов, включая 909 Ether, 270 000 Dai, 167 wrapped staked ETH и несколько других криптовалют в рамках семи различных активов.