Gjentatt Aztec-utnyttelse på 2,16 millioner dollar skaper bekymring rundt foreldede DeFi-kontrakter

Alle nyheter

Toppsaker

Redaktørens valg

Kryptovaluta

Finansnyheter

Valutaer

Markedsstemmer

Tilsynsmyndigheter

Sentralbanker

Parshwa Turakhiya

13 timer siden

Gjentatt Aztec-utnyttelse på 2,16 millioner dollar skaper bekymring rundt foreldede DeFi-kontrakter — Aztecs gamle bro mistet 2,16 millioner dollar

Aztec Labs har blitt rammet av et nytt utnyttelsesangrep på under en uke, etter at en angriper tømte omtrent 2,16 millioner dollar fra en utgått Private Rollup Bridge som ble stengt ned for flere år siden. Hendelsen påvirket ikke det nåværende Aztec-nettverket eller AZTEC-tokenet, men det har fornyet søkelyset på gamle smarte kontrakter som forblir aktive på blokkjeden selv etter at produktene er pensjonert.

Høydepunkter

Aztecs utgåtte Private Rollup Bridge mistet omtrent 2,16 millioner dollar.
Angriperen tok ut ETH, DAI og renBTC fra gamle, uforanderlige kontrakter.
Aztec uttalte at det nåværende nettverket og AZTEC-tokenet ikke ble påvirket.

Denne artikkelen ble oversatt fra originalen. Les den opprinnelige versjonen av vår korrespondent her.

Nok et angrep på forlatt infrastruktur

Angriperen rettet seg mot Aztecs gamle Private Rollup Bridge, et produkt som ble lansert i 2021 og lagt ned i 2022, rapporterer Coinpedia. Selv om broen var faset ut, forble de smarte kontraktene aktive fordi de var uforanderlige (immutable), noe som betyr at Aztec ikke kunne sette dem på pause eller oppgradere dem etter distribusjon.

Angriperen tok ut 1 158 ETH, 150 000 DAI og 0,47 renBTC, ifølge data fra SlowMist. Angriperens lommebok ble angivelig finansiert med bare 0,134 ETH fra HitBTC før angrepet.

Loading...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Angrepet fulgte etter en annen utnyttelse oppdaget 14. juni som involverte det utgåtte Aztec Connect-produktet, noe som førte til tap anslått til over 2,15 millioner dollar. Den tidligere hendelsen var også rettet mot foreldet infrastruktur, ikke det nåværende Aztec-nettverket.

Svakhet i nødutgangen

Forskere hos SlowMist knyttet den siste utnyttelsen til en svakhet i broens «escape hatch»-funksjon, en nødutgangsmekanisme designet for å la brukere få tilbake midler under visse omstendigheter. Problemet var ifølge rapporten at kontrakten ikke verifiserte uttaksforespørsler på riktig måte, og stolte på innsendte transaksjonsdata uten å uavhengig bekrefte eierskap til midlene.

Dette gjorde det mulig for angriperen å sende inn et bevis som virket gyldig, samtidig som det ble brukt manipulert uttaksinformasjon. Kontrakten frigjorde deretter midler den ikke burde ha godkjent. Saken viser hvordan selv nødverktøy kan bli angrepsflater hvis verifiseringslogikken er ufullstendig.

Aztec Labs uttalte at det berørte produktet ikke har noen tilknytning til det nåværende nettverket, nåværende smarte kontrakter eller AZTEC ERC-20-tokenet. Selskapet sa også at det ikke lenger har administrativ kontroll over den gamle broen, noe som begrenser muligheten til å gripe inn etter utnyttelsen.

Foreldet kode forblir en risiko i DeFi

Aztec-hendelsene belyser en tilbakevendende risiko i desentralisert finans: gamle smarte kontrakter kan forbli økonomisk relevante lenge etter at teamene har sluttet å vedlikeholde dem. Hvis det fortsatt finnes midler i disse kontraktene, kan uforanderlighet beskytte brukere mot vilkårlige endringer, men også forhindre kritiske feilrettinger.

For brukere er hovedspørsmålet ikke bare om en nåværende protokoll er sikker, men om eldre produkter fortsatt inneholder verdier og om nedstengingsprosessen var fullstendig. For utviklere er lærdommen tydeligere: utfasing avslutter ikke risikoen. Hvis kontrakter ikke kan oppgraderes, trenger prosjekter sterkere kampanjer for uttak, overvåking og offentlige advarsler før foreldede systemer blir målskiver.

Vi rapporterte også at Verus-Ethereum Bridge mistet mer enn 11 millioner dollar i et valideringsangrep.

Dette materialet kan inneholde tredjeparts meninger, ingen av dataene og informasjonen på denne nettsiden utgjør investeringsråd i henhold til vår Ansvarsfraskrivelse. Selv om vi følger strenge Redaksjonelle Retningslinjer, kan dette innlegget inneholde referanser til produkter fra våre partnere.

Likte du artikkelen?