Забытый, но не защищенный: хакер вывел $2,1 млн из мертвого протокола Aztec Connect
14 июня произошел инцидент, который в очередной раз напомнил сообществу о «проблеме мертвых контрактов». Злоумышленник успешно атаковал протокол Aztec Connect, выведя из него более $2,1 млн. Примечательно, что сам проект был свернут еще три года назад, и его разработчики уже не имеют ни административного доступа, ни возможности повлиять на ситуацию.
Уязвимость в механизме проверки доказательств
Мой анализ цепочки транзакций показывает, что атака стала возможной из-за критического недостатка в логике верификации смарт-контракта. В частности, функция проверки доказательств корректно сверяла только начальную часть данных, тогда как инструкции по переводу токенов, хранящиеся в другой части транзакции, оставались без должного контроля. Эта неполная валидация позволила хакеру подменить механизм вывода средств и легитимно, с точки зрения контракта, похитить ликвидность.
Позиция команды: «Мы бессильны»
Команда Aztec Labs подтвердила факт взлома, но сразу же сняла с себя ответственность за возврат средств. В официальном заявлении подчеркивается, что Aztec Connect — это устаревший протокол, который не поддерживается с 2022 года. Разработчики не обладают admin-ключами и не могут остановить работу контракта или установить обновление. Они ведут расследование, но повлиять на происходящее уже не в состоянии. Важно отметить, что инцидент не затронул текущий токен AZTEC (ERC-20) и активные смарт-контракты основной сети Aztec.
Тревожный тренд июня
Этот взлом стал очередным звеном в цепи атак на «мертвые» или заброшенные протоколы. Всего несколькими днями ранее хакеры вывели около $1,3 млн из пяти устаревших пулов ликвидности Raydium (RAY) в сети Solana. По данным агрегатора DeFiLlama, общий ущерб от хакерских атак только за первую половину июня уже превысил $43,93 млн.
Комментарий эксперта: Этот кейс — классический пример «бомбы замедленного действия» в DeFi. Когда протокол закрывается, его контракты часто остаются на блокчейне, привлекая внимание злоумышленников. Сообществу и аудиторам необходимо выработать стандарты по «захоронению» смарт-контрактов, включая принудительную блокировку ключевых функций или полное самоуничтожение. Пока этого не произойдет, такие инциденты будут повторяться, нанося ущерб даже тем, кто давно покинул проект.