Дрімаюча загроза: хакер вивів $2,1 млн із давно закритого протоколу Aztec Connect
14 червня я зафіксував підозрілу активність, пов'язану з протоколом Aztec Connect. Зловмисник, скориставшись критичною вразливістю в механізмі верифікації доказів, зумів вивести понад $2,1 мільйона зі смарт-контрактів давно неактивного проекту.
Фахівці з безпеки блокчейну оперативно виявили аномальну транзакцію та привернули до неї увагу спільноти. Аналіз показав, що корінь проблеми криється в неповній перевірці наданих доказів. Одна з функцій контракту звіряла лише початкову частину даних, залишаючи без належного контролю інструкції з переказу токенів, закладені в іншому сегменті. Ця прогалина дозволила атакуючому підмінити механізм виведення коштів і привласнити близько $2,19 млн.
Фонд Aztec підтвердив отримання інформації про інцидент. В офіційній заяві розробники підкреслили, що ситуація не зачіпає токен AZTEC стандарту ERC-20 та смарт-контракти діючої мережі Aztec. Ключовий момент, який я хочу виділити: Aztec Connect був закритий і припинив свою роботу три роки тому. Aztec Labs більше не керує цим протоколом, не має адміністративних ключів і, по суті, позбавлена можливості втрутитися.
«Aztec Labs не має адмін-ключів і не отримує контролю над системою. Призупинити її або оновити ми не можемо», — заявили в команді розробників.
Цей злом — не поодинокий випадок, а частина тривожного тренду. Всього кількома днями раніше хакери вивели близько $1,3 млн із п'яти застарілих пулів ліквідності в мережі Solana (Raydium). За даними агрегаторів DeFi, загальна шкода від подібних атак з початку червня вже перевищила $43,93 млн.
Аналітика Cryptalist: Цей інцидент — яскраве нагадування про «сплячі» ризики в DeFi. Закриті або занедбані протоколи — це цифрові бомби уповільненої дії. Їхній код залишається в блокчейні назавжди, і, як ми бачимо, вразливості не мають терміну давності. Для користувачів це сигнал: навіть якщо проект припинив існування, ваші кошти, що застрягли в його контрактах, можуть бути в небезпеці. Ринок повинен виробити механізми «поховання» або примусового виведення ліквідності з таких «мертвих» протоколів.