Toistuva 2,16 miljoonan dollarin Aztec-hyökkäys herättää huolta DeFi-perintösopimuksista

Traders Union
Kaikki uutiset
Kryptovaluutat
Azteciin iskettiin jälleen

Kaikki uutiset

Pääuutiset

Parhaat palat

Kryptovaluutat

Talousuutiset

Valuuttaparit

Markkinakatsaus

Sääntelyviranomaiset

Keskuspankit

Parshwa Turakhiya

13 tuntia sitten

Toistuva 2,16 miljoonan dollarin Aztec-hyökkäys herättää huolta DeFi-perintösopimuksista — Aztecin vanha silta menetti 2,16 miljoonaa dollaria

Aztec Labs on joutunut toisen hyökkäyksen kohteeksi alle viikon sisällä, kun hyökkääjä tyhjensi noin 2,16 miljoonaa dollaria käytöstä poistetusta Private Rollup Bridgestä, joka oli suljettu vuosia sitten. Tapaus ei vaikuttanut nykyiseen Aztec-verkkoon tai AZTEC-tokeniin, mutta se toi uutta tarkastelua vanhoihin älysopimuksiin, jotka pysyvät aktiivisina lohkoketjussa vielä tuotteiden eläköitymisen jälkeenkin.

Kohokohdat

Aztecin käytöstä poistettu Private Rollup Bridge menetti noin 2,16 miljoonaa dollaria.
Hyökkääjä nosti ETH:ta, DAI:ta ja renBTC:tä vanhoista muuttumattomista sopimuksista.
Aztec ilmoitti, ettei tapaus vaikuttanut nykyiseen verkkoon tai AZTEC-tokeniin.

Tämä artikkeli on käännetty alkuperäisestä tekstistä. Lue kirjeenvaihtajamme alkuperäinen versio täältä.

Toinen hyökkäys hylättyyn infrastruktuuriin

Hyökkääjä otti kohteekseen Aztecin vanhan Private Rollup Bridgen, vuonna 2021 julkaistun ja vuonna 2022 suljetun tuotteen, Coinpedia raportoi. Vaikka sillan käyttö oli lopetettu, sen älysopimukset pysyivät aktiivisina, koska ne olivat muuttumattomia (immutable), mikä tarkoittaa, ettei Aztec voinut keskeyttää tai päivittää niitä käyttöönoton jälkeen.

Hyökkääjä nosti 1 158 ETH:ta, 150 000 DAI:ta ja 0,47 renBTC:tä SlowMistin tietojen mukaan. Hyökkäyksessä käytetty lompakko oli tiettävästi rahoitettu vain 0,134 ETH:lla HitBTC:stä ennen iskua.

Loading...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Hyökkäys seurasi toista 14. kesäkuuta löydettyä haavoittuvuuden hyödyntämistä, joka koski käytöstä poistettua Aztec Connect -tuotetta ja johti arviolta yli 2,15 miljoonan dollarin tappioihin. Myös tuo aiempi tapaus kohdistui perintöinfrastruktuuriin, ei nykyiseen Aztec-verkkoon.

Escape hatch -heikkous

SlowMistin tutkijat yhdistivät uusimman hyökkäyksen heikkouteen sillan "escape hatch" -toiminnossa, joka on hätänostomekanismi, joka on suunniteltu antamaan käyttäjien palauttaa varoja tietyissä olosuhteissa. Raportin mukaan ongelmana oli, ettei sopimus varmistanut nostopyyntöjä asianmukaisesti ja luotti joihinkin toimitettuihin transaktiotietoihin ilman varojen omistajuuden riippumatonta vahvistamista.

Tämä antoi hyökkääjälle mahdollisuuden lähettää todisteen, joka vaikutti pätevältä, vaikka siinä käytettiin manipuloituja nostotietoja. Sopimus vapautti tällöin varoja, joita sen ei olisi pitänyt hyväksyä. Tapaus osoittaa, kuinka jopa hätätyökaluista voi tulla hyökkäyspintoja, jos varmistuslogiikka on puutteellinen.

Aztec Labs totesi, ettei kyseisellä tuotteella ole yhteyttä nykyiseen verkkoon, nykyisiin älysopimuksiin tai AZTEC ERC-20 -tokeniin. Yhtiö sanoi myös, ettei sillä ole enää hallinnollista määräysvaltaa vanhaan siltaan, mikä rajoittaa sen mahdollisuuksia puuttua tilanteeseen hyökkäyksen jälkeen.

Perintökoodi pysyy DeFi-riskinä

Aztecin tapaukset korostavat toistuvaa riskiä hajautetussa rahoituksessa: vanhat älysopimukset voivat pysyä taloudellisesti merkittävinä kauan sen jälkeen, kun tiimit lopettavat niiden ylläpidon. Jos varoja on edelleen näiden sopimusten sisällä, muuttumattomuus voi suojata käyttäjiä mielivaltaisilta muutoksilta, mutta se estää myös hätäkorjaukset.

Käyttäjille suurin kysymys ei ole vain se, onko nykyinen protokolla turvallinen, vaan myös se, onko vanhemmissa tuotteissa edelleen varoja ja oliko niiden sulkemisprosessi täydellinen. Kehittäjille opetus on selkeämpi: käytöstä poistaminen ei lopeta riskiä. Jos sopimuksia ei voida päivittää, projektit tarvitsevat vahvempia nostokampanjoita, seurantaa ja julkisia varoituksia ennen kuin perintöjärjestelmistä tulee kohteita.

Raportoimme myös, että Verus-Ethereum-silta menetti yli 11 miljoonaa dollaria validointihyökkäyksessä.

Tämä materiaali saattaa sisältää kolmansien osapuolten mielipiteitä, eikä mikään tällä verkkosivulla oleva tieto tai data muodosta sijoitusneuvontaa Vastuuvapauslausekkeemme mukaisesti. Vaikka noudatamme tiukkaa Toimituksellista Integriteettiä, tämä julkaisu saattaa sisältää viittauksia kumppaneidemme tuotteisiin.

Piditkö artikkelista?