Powtórny exploit Aztec na 2,16 mln USD budzi obawy o kontrakty legacy w DeFi

Traders Union
Wszystkie wiadomości
Kryptowaluty
Aztec zaatakowany ponownie

Wszystkie wiadomości

Najważniejsze wydarzenia

Wybór redakcji

Kryptowaluty

Wiadomości finansowe

Waluty

Głosy rynku

Regulatorzy

Banki centralne

Parshwa Turakhiya

13 godzin temu

Powtórny exploit Aztec na 2,16 mln USD budzi obawy o kontrakty legacy w DeFi — Stary most Aztec stracił 2,16 mln USD

Aztec Labs padło ofiarą drugiego exploita w ciągu niespełna tygodnia, po tym jak napastnik wyprowadził około 2,16 mln USD z wycofanego z użytku mostu Private Rollup Bridge, który został zamknięty lata temu. Incydent nie wpłynął na obecną sieć Aztec ani token AZTEC, ale ponowił dyskusję na temat starych smart kontraktów, które pozostają aktywne w sieci nawet po wycofaniu produktów.

Najważniejsze

Wycofany z użytku Private Rollup Bridge firmy Aztec stracił około 2,16 mln USD.
Napastnik wypłacił ETH, DAI i renBTC ze starych, niezmienialnych kontraktów.
Aztec poinformował, że obecna sieć i token AZTEC nie zostały dotknięte atakiem.

Ten artykuł został przetłumaczony z oryginału. Przeczytaj oryginalną wersję przygotowaną przez naszego korespondenta tutaj.

Kolejny atak na porzuconą infrastrukturę

Napastnik wziął na cel stary Private Rollup Bridge firmy Aztec, produkt uruchomiony w 2021 roku i zamknięty w 2022 roku, jak donosi Coinpedia. Chociaż most został wycofany, jego smart kontrakty pozostały aktywne, ponieważ były niezmienialne (immutable), co oznacza, że Aztec nie mógł ich wstrzymać ani zaktualizować po wdrożeniu.

Według danych SlowMist, napastnik wypłacił 1158 ETH, 150 000 DAI i 0,47 renBTC. Portfel wykorzystany do exploita został rzekomo zasilony kwotą zaledwie 0,134 ETH z giełdy HitBTC przed atakiem.

Loading...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Atak nastąpił po innym exploicie odkrytym 14 czerwca, dotyczącym wycofanego produktu Aztec Connect, który doprowadził do strat szacowanych na ponad 2,15 mln USD. Tamten wcześniejszy incydent również był wymierzony w infrastrukturę legacy, a nie w obecną sieć Aztec.

Słabość mechanizmu „escape hatch”

Badacze ze SlowMist powiązali najnowszy exploit ze słabością funkcji „escape hatch” (wyjścia awaryjnego) w moście – mechanizmu wypłat awaryjnych zaprojektowanego, aby umożliwić użytkownikom odzyskanie środków pod pewnymi warunkami. Problem, według raportu, polegał na tym, że kontrakt nie weryfikował prawidłowo żądań wypłaty i ufał niektórym przesłanym danym transakcyjnym bez niezależnego potwierdzenia własności środków.

Pozwoliło to napastnikowi przesłać dowód, który wydawał się ważny, przy jednoczesnym użyciu zmanipulowanych informacji o wypłacie. Kontrakt następnie uwolnił środki, których nie powinien był zatwierdzić. Przypadek ten pokazuje, jak nawet narzędzia awaryjne mogą stać się płaszczyzną ataku, jeśli logika weryfikacji jest niekompletna.

Aztec Labs oświadczyło, że produkt, którego dotyczy problem, nie ma powiązania z obecną siecią, aktualnymi smart kontraktami ani tokenem ERC-20 AZTEC. Firma dodała również, że nie posiada już kontroli administracyjnej nad starym mostem, co ogranicza jej zdolność do interwencji po exploicie.

Kod legacy pozostaje obciążeniem dla DeFi

Incydenty związane z Aztec podkreślają powracające ryzyko w zdecentralizowanych finansach: stare smart kontrakty mogą pozostać istotne ekonomicznie długo po tym, jak zespoły przestaną je utrzymywać. Jeśli w tych kontraktach nadal znajdują się środki, niezmienialność może chronić użytkowników przed arbitralnymi zmianami, ale także uniemożliwiać wprowadzenie poprawek awaryjnych.

Dla użytkowników główną kwestią jest nie tylko to, czy obecny protokół jest bezpieczny, ale czy starsze produkty nadal przechowują aktywa i czy proces ich zamykania był kompletny. Dla deweloperów lekcja jest jasna: wycofanie z użytku nie kończy ryzyka. Jeśli kontraktów nie można zaktualizować, projekty potrzebują silniejszych kampanii zachęcających do wypłat, monitoringu i publicznych ostrzeżeń, zanim systemy legacy staną się celem ataków.

Informowaliśmy również, że most Verus-Ethereum stracił ponad 11 milionów dolarów w wyniku exploita walidacji.

Ten materiał może zawierać opinie osób trzecich, żadne dane ani informacje na tej stronie nie stanowią porady inwestycyjnej zgodnie z naszym Zastrzeżeniem. Chociaż przestrzegamy surowych Zasad Redakcyjnych, ten post może zawierać odniesienia do produktów naszych partnerów.

Czy spodobał Ci się ten artykuł?