Устаревший смарт-контракт Aztec стал жертвой хакерской атаки на $2,15 млн
18 июня 2026 года была зафиксирована атака на неиспользуемый смарт-контракт L2-сети Aztec. По моим оценкам, злоумышленник вывел активы на сумму около $2,15 млн.
Инцидент был впервые обнаружен аналитическими системами, после чего команда Aztec Labs подтвердила факт взлома. Уязвимость была найдена в устаревшем платежном продукте Aztec Payments, который был закрыт еще в 2022 году. Важно подчеркнуть: атака не затронула текущих пользователей и активы в актуальной сети проекта.
Детали атаки
Хакер эксплуатировал уязвимость в логике проверки доказательств смарт-контракта PrivateRollupBridge. На проведение атаки злоумышленник потратил всего 0,134 ETH (~$230). В результате ему удалось вывести 1158 ETH, 150 000 DAI и 0,47 renBTC.
Примечательно, что это уже второй инцидент безопасности для Aztec за короткий промежуток времени. 14 июня другой устаревший контракт маршрутизатора был опустошен почти на $2,19 млн. Разработчики отметили, что не владеют административными ключами и не контролируют систему, поэтому не могут заморозить контракты или выпустить обновление для предотвращения атаки.
Мой анализ: Данный инцидент — яркий пример рисков, связанных с legacy-контрактами в DeFi. Отсутствие контроля со стороны команды проекта оставляет пользователей беззащитными перед уязвимостями, которые могут быть обнаружены спустя годы после закрытия продукта. Это подчеркивает необходимость тщательного аудита и механизмов автоматической деактивации старых контрактов.