Устаревший контракт Aztec взломан на $2 млн: анализ инцидента и уроки для L2-экосистем
18 июня сеть второго уровня Aztec столкнулась с очередным инцидентом безопасности: неиспользуемый смарт-контракт был успешно взломан. Оценочный ущерб составил примерно $2,15 млн. Это событие вновь привлекло внимание к проблемам legacy-кода в блокчейн-инфраструктуре.
Детали атаки: как это произошло
Аналитики CertiK первыми зафиксировали подозрительную активность, после чего команда Aztec Labs официально подтвердила факт взлома. Уязвимость была обнаружена в устаревшем платежном продукте Aztec Payments, который был закрыт еще в 2022 году. По данным исследования, хакер эксплуатировал логическую ошибку в проверке доказательств смарт-контракта PrivateRollupBridge. На реализацию атаки злоумышленник потратил всего 0,134 ETH (~$230).
Масштаб и последствия
В результате взлома было выведено 1158 ETH, 150 000 DAI и 0,47 renBTC. Важно подчеркнуть, что инцидент не затронул пользователей и активы в актуальной сети Aztec — атака была направлена исключительно на неактивный, но все еще развернутый контракт.
Контекст: вторая атака за неделю
Это уже второй случай за короткий промежуток времени. 14 июня неизвестные опустошили другой устаревший контракт маршрутизатора почти на $2,19 млн. Представители Aztec Labs отметили, что не владеют административными ключами и не контролируют систему, что делает невозможным заморозку контрактов или выпуск обновлений для предотвращения атак.
Напомню, что 8 июня хакеры скомпрометировали кошельки, связанные с проектом Humanity Protocol, ущерб составил около $31 млн.
Мой анализ и рекомендации
Данная ситуация — классический пример рисков, связанных с «мертвым кодом» в DeFi. Даже закрытые продукты продолжают существовать на блокчейне, и если они не имеют механизмов управления (например, административных ключей), они становятся легкой мишенью. Для L2-сетей и протоколов, стремящихся к максимальной децентрализации, критически важно внедрять процедуры полного уничтожения или блокировки неиспользуемых контрактов. Иначе мы рискуем наблюдать повторение таких атак, где ущерб ложится на плечи команды и сообщества, не имеющих возможности оперативно реагировать.