Ескірген Aztec келісімшартының эксплуатациясы: хакер $2 млн-нан астам қаражатты шығарып алды — бүкіл сала үшін сабақ
Cryptalist аналитикалық қызметі аудиттің және ескірген протоколдардан қаражатты уақтылы шығарудың маңыздылығын еске салатын кезекті оқиғаны тіркеді. Шабуылдаушы Aztec Connect платформасының жаңартылмайтын смарт-келісімшартына сәтті шабуыл жасап, одан криптовалютада шамамен $2,1 млн шығарды.
Мәселе әзірлеушілер тобы 2023 жылы ресми түрде тоқтатылған Aztec Connect жеке транзакциялар шешіміне қатысты. Қызмет көрсету тоқтатылғанына қарамастан, оның инфрақұрылымында айтарлықтай көлемдегі өтімділік бұғатталған күйінде қалды. Шабуыл RollupProcessorV3 келісімшартындағы осалдық арқылы жүзеге асырылды, бұл келісімшарт мәні бойынша Ethereum-ға «ақылды» көпір болды.
Шабуыл қалай жұмыс істеді және не ұрланды
BlockSec және CertiK компанияларының қауіпсіздік сарапшылары оқиғаға жедел ден қойды. Олардың талдауы мәселенің түбірі — транзакцияларды тексеру логикасы мен олардың Ethereum базалық қабатындағы нақты есептеуі арасындағы сәйкессіздік екенін көрсетті. Хакер келісімшарт ішінде жалған, қамтамасыз етілмеген баланстар жасай алды, содан кейін заңды түрде нақты активтерді шығарды. Басқаша айтқанда, келісімшарт бірінші деңгей желісінің күйіне сәйкес келмейтін дәлелдемелерді қабылдады.
Мониторинг деректері бойынша, шабуыл жеті түрлі актив бойынша жүргізілді. Ұрланғандардың қатарында: 909 ETH, 270 000 DAI, 167 wstETH, сондай-ақ басқа да бірқатар токендер бар. Атап өту маңызды, Aztec Network жобасының ағымдағы желісі мен ондағы пайдаланушылардың қаражаты зардап шеккен жоқ — осалдық тек ескі, жаңартылмайтын келісімшарт нұсқасына әсер етті.
Команданың ұстанымы және негізгі қорытынды
Aztec Labs әзірлеушілері ескірген жүйеге әкімшілік кілттері жоқ екенін, сондықтан оны тоқтата немесе жаңарта алмайтынын мәлімдеді. Бұл «өзгермейтін» келісімшарттардың классикалық дилеммасы: команда тарапынан бақылаудың болмауы цензурадан қорғайды, бірақ протоколды табылған осалдықтар алдында мүлдем қорғансыз етеді. Aztec Connect 2022 жылы DeFi-көпір ретінде іске қосылды, ал оны қолдау 2023 жылдың наурызында, команда назарын Ignition Chain L2-шешімін дамытуға аударған кезде тоқтатылды.
Cryptalist сарапшысының пікірі: Бұл оқиға — ескірген кодты бұзу туралы ғана емес. Бұл нарыққа тікелей сигнал. Егер сіз «өлі» немесе «мұздатылған» протоколдарда активтер ұстасаңыз, сіз негізсіз тәуекелге барасыз. Командалар пайдаланушыларды деприкейдтелген келісімшарттардан қаражат шығаруға белсенді ынталандыруы керек, ал пайдаланушылар мұндай хабарландыруларға уақтылы жауап беруі тиіс. DeFi әлемінде «өзгермейтіндік» — екі ұшты қылыш, және бұл жағдай ескі инфрақұрылымның қолайлы сәтті жылдар бойы күтетін хакерлер үшін тартымды нысанаға айналатынын тағы бір рет дәлелдейді.