Устаревший смарт-контракт Aztec взломан на $2 млн: детали инцидента
18 июня произошла атака на неиспользуемый смарт-контракт в L2-сети Aztec. По предварительным оценкам, ущерб составил около $2,15 млн. Злоумышленник воспользовался уязвимостью в логике проверки доказательств контракта PrivateRollupBridge, затратив на реализацию атаки всего 0,134 ETH (~$230). В результате ему удалось вывести 1158 ETH, 150 000 DAI и 0,47 renBTC.
Уязвимость была обнаружена аналитиками CertiK, которые первыми зафиксировали подозрительную активность. Позднее команда разработчиков Aztec Labs подтвердила инцидент. Проблема затронула устаревший платежный продукт Aztec Payments, который был закрыт еще в 2022 году. Важно подчеркнуть, что атака не повлияла на пользователей и активы в актуальной версии сети проекта.
Это уже второй инцидент безопасности для Aztec за последние дни. 14 июня неизвестные опустошили другой устаревший контракт маршрутизатора, похитив почти $2,19 млн. Представители Aztec Labs отметили, что не владеют административными ключами и не контролируют систему, поэтому не могут заморозить контракты или выпустить обновление для предотвращения атаки.
Напомню, что 8 июня хакеры скомпрометировали кошельки, связанные с проектом Humanity Protocol, нанеся ущерб примерно в $31 млн.
Экспертный комментарий: Этот инцидент вновь подчеркивает критическую важность управления жизненным циклом смарт-контрактов. Устаревшие, но неизменяемые контракты становятся «бомбами замедленного действия» для экосистемы. Проектам необходимо внедрять механизмы принудительного отключения или миграции активов из заброшенных контрактов, иначе подобные атаки будут повторяться с завидной регулярностью.