La répétition de l'exploit d'Aztec de 2,16 millions de dollars soulève des inquiétudes concernant les contrats DeFi hérités

Toutes les actualités

À la une

Sélection de la rédaction

Cryptomonnaies

Actualités financières

Devises

Voix du marché

Régulateurs

Banques centrales

Parshwa Turakhiya

il y a 13 heures

La répétition de l'exploit d'Aztec de 2,16 millions de dollars soulève des inquiétudes concernant les contrats DeFi hérités — L'ancien bridge d'Aztec a perdu 2,16 millions de dollars

Aztec Labs a été frappé par un deuxième exploit en moins d'une semaine, après qu'un attaquant a drainé environ 2,16 millions de dollars d'un Private Rollup Bridge obsolète qui avait été fermé il y a des années. L'incident n'a pas affecté le réseau Aztec actuel ni le jeton AZTEC, mais il a relancé l'examen des anciens contrats intelligents qui restent actifs sur la chaîne même après le retrait des produits.

Points forts

Le Private Rollup Bridge obsolète d'Aztec a perdu environ 2,16 millions de dollars.
L'attaquant a retiré de l'ETH, du DAI et du renBTC d'anciens contrats immuables.
Aztec a déclaré que le réseau actuel et le jeton AZTEC n'étaient pas affectés.

Cet article a été traduit de l'original. Lisez la version originale de notre correspondant ici.

Une autre attaque sur une infrastructure abandonnée

L'attaquant a ciblé l'ancien Private Rollup Bridge d'Aztec, un produit lancé en 2021 et fermé en 2022, rapporte Coinpedia. Bien que le bridge ait été abandonné, ses contrats intelligents sont restés actifs car ils étaient immuables, ce qui signifie qu'Aztec ne pouvait pas les suspendre ou les mettre à jour après leur déploiement.

L'attaquant a retiré 1 158 ETH, 150 000 DAI et 0,47 renBTC, selon les données de SlowMist. Le portefeuille de l'exploit aurait été financé avec seulement 0,134 ETH provenant de HitBTC avant l'attaque.

Loading...

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

L'attaque fait suite à un autre exploit découvert le 14 juin impliquant le produit obsolète Aztec Connect, qui a entraîné des pertes estimées à plus de 2,15 millions de dollars. Cet incident précédent ciblait également une infrastructure héritée, et non le réseau Aztec actuel.

Faiblesse de la trappe de secours (escape hatch)

Les chercheurs de SlowMist ont lié le dernier exploit à une faiblesse de la fonction « escape hatch » du bridge, un mécanisme de retrait d'urgence conçu pour permettre aux utilisateurs de récupérer des fonds sous certaines conditions. Le problème, selon le rapport, était que le contrat ne vérifiait pas correctement les demandes de retrait et faisait confiance à certaines données de transaction soumises sans confirmer de manière indépendante la propriété des fonds.

Cela a permis à l'attaquant de soumettre une preuve qui semblait valide tout en utilisant des informations de retrait manipulées. Le contrat a alors libéré des fonds qu'il n'aurait pas dû approuver. L'affaire montre comment même les outils d'urgence peuvent devenir des surfaces d'attaque si la logique de vérification est incomplète.

Aztec Labs a déclaré que le produit concerné n'a aucun lien avec le réseau actuel, les contrats intelligents actuels ou le jeton ERC-20 AZTEC. La société a également précisé qu'elle n'a plus de contrôle administratif sur l'ancien bridge, ce qui limite sa capacité d'intervention après l'exploit.

Le code hérité reste un passif pour la DeFi

Les incidents d'Aztec mettent en évidence un risque récurrent dans la finance décentralisée : les anciens contrats intelligents peuvent rester économiquement pertinents longtemps après que les équipes ont cessé de les maintenir. Si des fonds se trouvent toujours à l'intérieur de ces contrats, l'immuabilité peut protéger les utilisateurs contre des changements arbitraires mais aussi empêcher des corrections d'urgence.

Pour les utilisateurs, la question principale n'est pas seulement de savoir si un protocole actuel est sécurisé, mais si les produits plus anciens détiennent toujours des actifs et si leur processus de fermeture a été complet. Pour les développeurs, la leçon est plus claire : l'obsolescence ne met pas fin au risque. Si les contrats ne peuvent pas être mis à jour, les projets ont besoin de campagnes de retrait plus robustes, de surveillance et d'avertissements publics avant que les systèmes hérités ne deviennent des cibles.

Nous avons également rapporté que le Bridge Verus-Ethereum a perdu plus de 11 millions de dollars lors d'un exploit de validation.

Ce matériel peut contenir des opinions de tiers, aucune des données et informations sur cette page web ne constitue un conseil en investissement selon notre Avertissement. Bien que nous respections une stricte Intégrité Éditoriale, ce post peut contenir des références à des produits de nos partenaires.

Cet article vous a plu ?