Новости криптомира

18 июня злоумышленник успешно атаковал неактивный смарт-контракт в сети второго уровня Aztec. По моим оценкам, ущерб составил порядка $2,15 млн. Это уже второй инцидент за неделю, и он наглядно демонстрирует риски, связанные с наследием старых протоколов.

Атака была направлена на устаревший продукт Aztec Payments, который был свёрнут ещё в 2022 году. Важно подчеркнуть: текущая инфраструктура проекта и средства пользователей в актуальной сети не пострадали. Уязвимость обнаружилась в контракте PrivateRollupBridge — хакер использовал брешь в логике проверки доказательств. На реализацию атаки он потратил всего 0,134 ETH (примерно $230), что говорит о глубоком понимании кода.

В результате вывода злоумышленник получил 1158 ETH, 150 000 DAI и 0,47 renBTC. Общая стоимость украденных активов превышает $2 млн.

Команда Aztec Labs подтвердила инцидент, но отметила, что не имеет административных ключей и не может заморозить контракты или выпустить обновление. Это характерная проблема для необновляемых (immutable) смарт-контрактов: как только код развёрнут, контроль над ним теряется навсегда. В данном случае устаревший контракт был заморожен на втором уровне, но злоумышленник нашёл способ обойти его логику.

Напомню, что 14 июня аналогичная атака затронула другой старый контракт маршрутизатора, ущерб от которой составил почти $2,19 млн. В совокупности это более $4 млн за короткий срок, что указывает на системную проблему: забытые, но всё ещё активные контракты — лакомая цель для хакеров.

Моя аналитика: Данный инцидент — яркий пример того, почему проектам необходимо проводить аудит и своевременно деактивировать старые контракты, а не просто оставлять их в сети. Отсутствие механизмов управления после деплоя — палка о двух концах: с одной стороны, это безопасность от цензуры, с другой — беззащитность перед уязвимостями. Если Aztec не найдёт способ обезопасить наследие, такие атаки станут регулярными.