Il ripetuto exploit di Aztec da 2,16 milioni di dollari solleva preoccupazioni sui contratti DeFi legacy

Tutte le notizie

Notizie principali

Scelta dell'editore

Criptovalute

Notizie finanziarie

Valute

Voci di mercato

Regolatori

Banche centrali

Parshwa Turakhiya

13 ore fa

Il ripetuto exploit di Aztec da 2,16 milioni di dollari solleva preoccupazioni sui contratti DeFi legacy — Il vecchio bridge di Aztec ha perso 2,16 milioni di dollari

Aztec Labs è stata colpita da un secondo exploit in meno di una settimana, dopo che un aggressore ha sottratto circa 2,16 milioni di dollari da un Private Rollup Bridge deprecato e chiuso anni fa. L'incidente non ha interessato l'attuale rete Aztec né il token AZTEC, ma ha riacceso i riflettori sui vecchi smart contract che rimangono attivi on-chain anche dopo il ritiro dei prodotti.

In evidenza

Il Private Rollup Bridge deprecato di Aztec ha perso circa 2,16 milioni di dollari.
L'aggressore ha prelevato ETH, DAI e renBTC da vecchi contratti immutabili.
Aztec ha dichiarato che l'attuale rete e il token AZTEC non sono stati interessati.

Questo articolo è stato tradotto dall'originale. Leggi la versione originale del nostro corrispondente qui.

Un altro attacco a un'infrastruttura abbandonata

L'aggressore ha preso di mira il vecchio Private Rollup Bridge di Aztec, un prodotto lanciato nel 2021 e chiuso nel 2022, come riportato da Coinpedia. Sebbene il bridge fosse stato dismesso, i suoi smart contract sono rimasti attivi perché immutabili, il che significa che Aztec non ha potuto sospenderli o aggiornarli dopo il deployment.

L'aggressore ha prelevato 1158 ETH, 150.000 DAI e 0,47 renBTC, secondo i dati di SlowMist. Il wallet dell'exploit sarebbe stato finanziato con soli 0,134 ETH da HitBTC prima dell'attacco.

Loading...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

L'attacco segue un altro exploit scoperto il 14 giugno che ha coinvolto il prodotto deprecato Aztec Connect, portando a perdite stimate in oltre 2,15 milioni di dollari. Anche quel precedente incidente aveva preso di mira l'infrastruttura legacy, non l'attuale rete Aztec.

Debolezza della "escape hatch"

I ricercatori di SlowMist hanno collegato l'ultimo exploit a una debolezza nella funzione "escape hatch" del bridge, un meccanismo di prelievo di emergenza progettato per consentire agli utenti di recuperare i fondi in determinate condizioni. Il problema, secondo il rapporto, era che il contratto non verificava correttamente le richieste di prelievo e si fidava di alcuni dati di transazione inviati senza confermare in modo indipendente la proprietà dei fondi.

Ciò ha permesso all'aggressore di inviare una prova che appariva valida utilizzando informazioni di prelievo manipolate. Il contratto ha quindi rilasciato fondi che non avrebbe dovuto approvare. Il caso dimostra come anche gli strumenti di emergenza possano diventare superfici di attacco se la logica di verifica è incompleta.

Aztec Labs ha dichiarato che il prodotto interessato non ha alcun legame con l'attuale rete, gli attuali smart contract o il token ERC-20 AZTEC. L'azienda ha inoltre affermato di non avere più il controllo amministrativo sul vecchio bridge, il che limita la sua capacità di intervenire dopo l'exploit.

Il codice legacy rimane una passività per la DeFi

Gli incidenti di Aztec evidenziano un rischio ricorrente nella finanza decentralizzata: i vecchi smart contract possono rimanere economicamente rilevanti molto tempo dopo che i team hanno smesso di gestirli. Se i fondi sono ancora all'interno di tali contratti, l'immutabilità può proteggere gli utenti da modifiche arbitrarie, ma impedisce anche correzioni di emergenza.

Per gli utenti, il problema principale non è solo se un protocollo attuale sia sicuro, ma se i prodotti più vecchi detengano ancora asset e se il loro processo di chiusura sia stato completo. Per gli sviluppatori, la lezione è più chiara: la deprecazione non elimina il rischio. Se i contratti non possono essere aggiornati, i progetti necessitano di campagne di prelievo più incisive, monitoraggio e avvisi pubblici prima che i sistemi legacy diventino bersagli.

Abbiamo anche riportato che il Bridge Verus-Ethereum perde più di 11 milioni di dollari in un exploit di validazione.

Questo materiale può contenere opinioni di terze parti, nessuno dei dati e delle informazioni su questa pagina web costituisce consulenza sugli investimenti secondo il nostro Disclaimer. Sebbene aderiamo a una rigorosa Integrità Editoriale, questo post può contenere riferimenti a prodotti dei nostri partner.

Ti è piaciuto l'articolo?