Aztec Connect ескірген смарт-келісімшартындағы осалдық $2,1 млн шығынға әкелді: оқиғаны талдау
Криптоқауымдастықта ескірген инфрақұрылымға тағы бір шабуыл тіркелді. Бұл жолы шабуылдаушының нысанасы Aztec Connect платформасы болды — Ethereum негізіндегі жеке транзакцияларға арналған шешім, оған қолдау көрсету үш жыл бұрын тоқтатылған. Бұзу нәтижесінде хакер жаңартылмайтын смарт-келісімшарттан шамамен $2,1 млн шығарып алды.
Оқиға тек 2023 жылы әзірлеушілер деактивациялаған ескірген Aztec Connect келісімшартына қатысты. Атап өту маңызды: ағымдағы Aztec Network желісі және жаңа протоколмен әрекеттесетін пайдаланушылардың активтері қол тимеген күйінде қалды. Aztec Labs командасының ескі келісімшартқа әкімшілік кілттері жоқ, бұл оны тоқтатуды немесе жаңартуды мүмкін емес етеді — бұл «тасталған» смарт-келісімшарттар тәуекелінің классикалық мысалы.
Шабуылдың техникалық мәліметтері
BlockSec және CertiK компанияларының қауіпсіздік мамандары транзакцияға алғашқы талдау жүргізді. Мәселенің түбірі келісімшарт деңгейіндегі транзакцияларды тексеру мен олардың Ethereum негізгі желісіндегі есептеуі арасындағы сәйкессіздікте жатыр. Транзакциялар тізімін растау жолы мен операция логикасының әртүрлі түсіндіруіне байланысты келісімшарт L1-блокчейнінде тиісті тексерусіз құнды есептей алған. Хакер осы осалдықты пайдаланып, қамтамасыз етілмеген баланстар жасап, жеті түрлі актив бойынша қаражатты лезде шығарып алды.
CertiK мәліметтері бойынша, ұрланған активтерге 909 ETH, 270 000 DAI, 167 wstETH және басқа да бірқатар криптовалюталар кірді. Шабуыл processRollup() функциясы арқылы жүзеге асырылды, онда қолжетімділікті бақылаудың тиісті тексеруі болмаған.
Контекст және сабақтар
Aztec Connect 2022 жылы жеке транзакцияларға арналған DeFi-көпір ретінде іске қосылды, бірақ 2023 жылдың наурызында әзірлеушілер депозиттерді қабылдауды тоқтатып, ресурстарды L2-шешімнің жаңа буынын — Aztec Network құруға ауыстырды. 2025 жылдың қарашасында жоба Ethereum-дағы «толық орталықтандырылмаған екінші деңгей шешімі» ретінде орналастырылған Ignition Chain протоколын іске қосты.
Менің кәсіби пікірім: Бұл оқиға — ескірген смарт-келісімшарттардың «баяу әрекет ететін бомба» екендігінің айқын ескертуі. Протокол ресми түрде жабылса да, жаңартылмайтын келісімшарттардағы қалдық қаражат шабуылдаушылар үшін оңай олжаға айналады, әсіресе шұғыл тоқтату механизмі болмаған жағдайда. Инвесторлар мен командалар өтімділікті көшіру және ескі келісімшарттарды толық жою процедураларына басымдық беруі керек, осындай шығындарды болдырмау үшін.