Новини криптоміра

Розробники приватного Ethereum-рішення Aztec Network підтвердили факт експлуатації застарілого смарт-контракту. Зловмисник вивів близько $2,1 млн з інфраструктури, яка була офіційно виведена з експлуатації ще три роки тому.

Деталі інциденту

Атака торкнулася платформи Aztec Connect — рішення для конфіденційних транзакцій, підтримка якого припинилася у 2023 році. Незважаючи на деактивацію, частина коштів залишалася заблокованою в протоколі. Команда підкреслила, що поточна мережа проекту та активи користувачів не постраждали.

Згідно з аналізом експертів BlockSec, корінь проблеми — невідповідність між перевіркою транзакцій та їхнім фінальним розрахунком в Ethereum. Через відмінності в інтерпретації списку транзакцій між шляхом верифікації та операційною логікою контракт зараховував вартість без перевірки на L1-блокчейні. Хакер створив незабезпечені баланси та вивів кошти за сімома активами.

Втрати та масштаб

Спеціалісти Certik уточнили склад викраденого: 909 ETH, 270 000 DAI, 167 wstETH та низку інших криптовалют. Атака була проведена через контракт RollupProcessorV3, який, незважаючи на деактивацію, залишався в мережі Ethereum.

Aztec Connect запустили у 2022 році як DeFi-міст. У березні 2023 року платформа припинила приймати депозити, а команда переключила ресурси на Aztec Network. Розробники заявили, що не мають адміністративних ключів і не контролюють систему, тому не можуть поставити її на паузу або оновити. Нагадаю, у листопаді 2025 року проект запустив L2-протокол Ignition Chain на базі Ethereum, позиціонуючи його як «перше повністю децентралізоване рішення другого рівня».

Мій аналіз: Цей випадок — класичний приклад ризиків, пов'язаних із «мертвими» контрактами. Навіть після припинення підтримки смарт-контракти залишаються частиною блокчейну, і якщо в них є вразливості, зловмисники рано чи пізно їх знайдуть. Інцидент підкреслює необхідність проактивного аудиту legacy-коду та розробки механізмів автоматичного заморожування таких активів.