Новости криптомира

18 июня в сети второго уровня Aztec был взломан неиспользуемый смарт-контракт, что привело к ущербу в размере приблизительно $2,15 млн. Инцидент затронул устаревший платежный продукт Aztec Payments, который был свернут еще в 2022 году. Важно подчеркнуть, что атака не затронула текущих пользователей и активы, находящиеся в актуальной версии сети.

Первыми на аномальную активность обратили внимание аналитики CertiK, после чего команда разработчиков Aztec Labs подтвердила факт взлома. Уязвимость была обнаружена в логике проверки доказательств контракта PrivateRollupBridge. Злоумышленник потратил всего 0,134 ETH (около $230) на реализацию атаки, что подчеркивает чрезвычайно низкий порог входа для эксплуатации подобных уязвимостей, когда код остается неизменным и неподдерживаемым.

В результате хакер вывел 1158 ETH, 150 000 DAI и 0,47 renBTC — в общей сложности активы на сумму более $2 млн. Примечательно, что для Aztec это уже второй инцидент за последние несколько дней. 14 июня другой устаревший контракт маршрутизатора был опустошен почти на $2,19 млн.

Ключевой проблемой, на мой взгляд, является то, что представители Aztec Labs не владеют административными ключами и не контролируют систему. Это означает, что команда не может заморозить контракты или выпустить обновление для предотвращения дальнейших атак. Такая архитектура, характерная для децентрализованных решений, становится ахиллесовой пятой, когда речь идет о старых, неиспользуемых смарт-контрактах, которые остаются открытыми для эксплуатации.

Для сравнения, 8 июня хакеры скомпрометировали кошельки, связанные с проектом Humanity Protocol, нанеся ущерб в $31 млн. Эти инциденты подчеркивают растущую тенденцию: злоумышленники все активнее охотятся за заброшенными контрактами, где отсутствие поддержки и обновлений делает их легкой добычей. Рынку необходимо срочно внедрять механизмы деактивации или автоматического вывода средств из устаревших смарт-контрактов, чтобы предотвратить подобные потери в будущем.