Застарілий смарт-контракт Aztec став жертвою хакерської атаки на $2,15 млн
18 червня 2026 року було зафіксовано атаку на невикористовуваний смарт-контракт L2-мережі Aztec. За моїми оцінками, зловмисник вивів активи на суму близько $2,15 млн.
Інцидент був вперше виявлений аналітичними системами, після чого команда Aztec Labs підтвердила факт злому. Вразливість було знайдено в застарілому платіжному продукті Aztec Payments, який був закритий ще у 2022 році. Важливо підкреслити: атака не зачепила поточних користувачів та активи в актуальній мережі проекту.
Деталі атаки
Хакер експлуатував вразливість у логіці перевірки доказів смарт-контракту PrivateRollupBridge. На проведення атаки зловмисник витратив лише 0,134 ETH (~$230). У результаті йому вдалося вивести 1158 ETH, 150 000 DAI та 0,47 renBTC.
Примітно, що це вже другий інцидент безпеки для Aztec за короткий проміжок часу. 14 червня інший застарілий контракт маршрутизатора був спустошений майже на $2,19 млн. Розробники зазначили, що не володіють адміністративними ключами та не контролюють систему, тому не можуть заморозити контракти або випустити оновлення для запобігання атаці.
Мій аналіз: Даний інцидент — яскравий приклад ризиків, пов'язаних з legacy-контрактами в DeFi. Відсутність контролю з боку команди проекту залишає користувачів беззахисними перед вразливостями, які можуть бути виявлені через роки після закриття продукту. Це підкреслює необхідність ретельного аудиту та механізмів автоматичної деактивації старих контрактів.