Повторный удар по Aztec Connect: хакеры вывели еще $2,2 млн из заброшенного протокола
Заброшенный конфиденциальный протокол Aztec Connect продолжает привлекать внимание злоумышленников. 18 июня я зафиксировал новую атаку на его смарт-контракты, в результате которой было похищено около $2,2 млн в криптовалюте. Это уже второй инцидент за неделю, после взлома 14 июня, что указывает на системную уязвимость, которую хакеры активно эксплуатируют.
Как произошла повторная кража
На этот раз злоумышленник вывел 1158 ETH, 150 000 DAI и примерно 0,47 токена renBTC. Метод атаки во многом повторяет предыдущий: хакер вновь использовал уязвимость в функции escapeHatch (аварийный люк). Этот механизм был задуман как запасной выход для пользователей, позволяющий вывести средства напрямую в случае отказа основной системы. Однако критическая ошибка заключалась в отсутствии проверки прав доступа — дверь была открыта для любого.
Суть эксплойта проста: система должна была верифицировать, что пользователь действительно владеет активами, которые пытается вывести. Из-за дефекта в коде хакер смог предъявить поддельное «доказательство» владения, и контракт, не проведя должную проверку, отдал ему чужие средства. Примечательно, что сам уязвимый механизм разработчики давно удалили из основного кода, но развернутый в сети контракт по-прежнему содержал старый проверяющий модуль. По сути, брешь годами ждала своего часа в коде, который все считали неактивным.
Почему остановить атаку было невозможно
Корень проблемы кроется в статусе Aztec Connect. Это давно заброшенный продукт, который был выведен из эксплуатации еще в 2023 году, когда команда Aztec Labs переключилась на новую сеть. После закрытия разработчики отказались от ключей управления, и контракты стали неизменяемыми (immutable). Это означает, что код навсегда застыл в сети: его нельзя обновить, исправить или поставить на паузу. У команды просто нет технической возможности вмешаться и остановить кражу.
Важно подчеркнуть, что данный инцидент не затрагивает ни токен AZTEC, ни действующую сеть Aztec — это совершенно отдельная система. Тем не менее, случай в очередной раз демонстрирует скрытую опасность DeFi: даже брошенные смарт-контракты остаются мишенью, пока в них хранятся деньги. По данным DeFiLlama, только за июнь 2026 года в результате как минимум 12 атак было украдено около $44 млн.
Мнение эксперта: Этот инцидент — яркий пример того, как «забытые» протоколы становятся бомбами замедленного действия для экосистемы. Пользователям стоит критически оценивать риски при взаимодействии с любыми смарт-контрактами, особенно если проект официально прекратил поддержку. Отсутствие возможности обновления кода — это не защита, а фатальная уязвимость, если в контракте остались активы.