Повторний удар по Aztec Connect: хакери вивели ще $2,2 млн із занедбаного протоколу
Закинутий конфіденційний протокол Aztec Connect продовжує привертати увагу зловмисників. 18 червня я зафіксував нову атаку на його смарт-контракти, в результаті якої було викрадено близько $2,2 млн у криптовалюті. Це вже другий інцидент за тиждень, після злому 14 червня, що вказує на системну вразливість, яку хакери активно експлуатують.
Як відбулося повторне викрадення
Цього разу зловмисник вивів 1158 ETH, 150 000 DAI та приблизно 0,47 токена renBTC. Метод атаки значною мірою повторює попередній: хакер знову використав вразливість у функції escapeHatch (аварійний люк). Цей механізм був задуманий як запасний вихід для користувачів, що дозволяє вивести кошти безпосередньо у разі відмови основної системи. Однак критична помилка полягала у відсутності перевірки прав доступу — двері були відкриті для будь-кого.
Суть експлойту проста: система мала верифікувати, що користувач дійсно володіє активами, які намагається вивести. Через дефект у коді хакер зміг пред'явити підроблений «доказ» володіння, і контракт, не провівши належної перевірки, віддав йому чужі кошти. Примітно, що сам вразливий механізм розробники давно видалили з основного коду, але розгорнутий у мережі контракт, як і раніше, містив старий перевіряючий модуль. По суті, пролом роками чекав своєї години в коді, який усі вважали неактивним.
Чому зупинити атаку було неможливо
Корінь проблеми криється в статусі Aztec Connect. Це давно закинутий продукт, який був виведений з експлуатації ще в 2023 році, коли команда Aztec Labs переключилася на нову мережу. Після закриття розробники відмовилися від ключів управління, і контракти стали незмінними (immutable). Це означає, що код назавжди застиг у мережі: його не можна оновити, виправити або поставити на паузу. У команди просто немає технічної можливості втрутитися та зупинити крадіжку.
Важливо підкреслити, що цей інцидент не зачіпає ні токен AZTEC, ні діючу мережу Aztec — це абсолютно окрема система. Тим не менш, випадок вкотре демонструє приховану небезпеку DeFi: навіть покинуті смарт-контракти залишаються мішенню, поки в них зберігаються гроші. За даними DeFiLlama, лише за червень 2026 року в результаті щонайменше 12 атак було викрадено близько $44 млн.
Думка експерта: Цей інцидент — яскравий приклад того, як «забуті» протоколи стають бомбами уповільненої дії для екосистеми. Користувачам варто критично оцінювати ризики при взаємодії з будь-якими смарт-контрактами, особливо якщо проект офіційно припинив підтримку. Відсутність можливості оновлення коду — це не захист, а фатальна вразливість, якщо в контракті залишилися активи.