Забутий протокол атаковано: хакер вивів $2,1 млн із закритого Aztec Connect
14 червня відбулася атака на протокол Aztec Connect, який був закритий ще три роки тому. Зловмисник зумів вивести понад $2,1 мільйона, скориставшись критичною вразливістю в механізмі верифікації доказів.
Фахівці з блокчейн-безпеки зафіксували підозрілу транзакцію та оперативно сповістили спільноту. Як з'ясувалося, корінь проблеми криється в неповній перевірці наданих даних. Одна з функцій смарт-контракту перевіряла лише початкову частину доказу, тоді як інструкції з переміщення токенів, закладені в іншій частині даних, залишалися без належного контролю. Ця архітектурна помилка дозволила атакуючому підмінити механізм виведення коштів і викрасти близько $2,19 млн.
Реакція розробників та поточна ситуація
Фонд Aztec підтвердив отримання повідомлення про можливий експлойт. У команді наголосили, що інцидент не зачіпає токен AZTEC стандарту ERC-20 та діючі смарт-контракти основної мережі Aztec. Ключовий момент тут — повна безпорадність розробників перед лицем атаки. Aztec Labs заявили, що більше не керують протоколом Aztec Connect, оскільки він був зупинений три роки тому.
«Aztec Labs не має адміністративних ключів і не отримує контролю над системою. Призупинити її або оновити ми не можемо», — повідомили розробники.
Компанія підтвердила, що веде розслідування, але вплинути на те, що відбувається, вже не в змозі. Цей злом — яскравий приклад того, як «сплячі» або занедбані протоколи стають легкою мішенню. Інцидент стався лише через кілька днів після експлойту в Raydium (RAY), де хакери вивели близько $1,3 млн з п'яти застарілих пулів ліквідності в мережі Solana (SOL). Згідно з даними DeFiLlama, загальна шкода від зломів з початку червня вже перевищила $43,93 млн.
Думка експерта: Атака на Aztec Connect — це тривожний дзвінок для всієї індустрії. Протоколи, які були «заморожені» або припинили активну розробку, залишаються частиною блокчейну. Їхній код, позбавлений підтримки та оновлень, стає бомбою уповільненої дії. Інвесторам та користувачам варто вкрай обережно ставитися до взаємодії з будь-якими legacy-контрактами, навіть якщо вони здаються «мертвими». Безпека не терпить недбалості, особливо щодо занедбаних активів.