Ескірген Aztec смарт-келісімшарты босатылды: хакер верификация қателігінен $2,1 млн шығарып алды
Менің аналитикалық жүйелерім Aztec Network экожүйесінде елеулі оқиғаны тіркеді. Зиянкес платформаның ескірген Aztec Connect смарт-келісімшартына сәтті шабуыл жасап, шамамен $2,1 млн криптовалютаны шығарып алды. Шабуыл қауіпсіздіктің стандартты тексерулерін айналып өтетін транзакция арқылы жүзеге асырылды.
Бұл оқиға 2023 жылы ресми түрде тоқтатылған жеке DeFi-транзакцияларға арналған Aztec Connect шешіміне қатысты. Aztec Labs командасы бұл протоколды қолдаудан бас тартқанына қарамастан, қаражаттың едәуір бөлігі оның инфрақұрылымында бұғатталған күйінде қалды. Атап өту маңызды: ағымдағы Aztec Network желісі және ондағы пайдаланушылардың активтері зардап шеккен жоқ.
Осылдықтың түбірі: верификация логикасындағы сәйкессіздік
BlockSec мамандары алғашқы талдау жүргізіп, негізгі мәселені анықтады. Шабуыл смарт-келісімшарт деңгейіндегі транзакцияларды тексеру мен олардың Ethereum базалық қабатындағы нақты есептеуі арасындағы түбегейлі сәйкессіздікке байланысты мүмкін болды. Зиянкес верификация жолы мен операция логикасының транзакциялар тізімін әртүрлі түсіндіруіндегі айырмашылықты пайдаланды. Нәтижесінде келісімшарт активтердің құнын L1-блокчейнінде нақты тексерусіз есептей алатын болды. Қарапайым тілмен айтқанда, хакер қамтамасыз етілмеген баланстар жасап, нақты қаражатты шығарып алды.
CertiK мониторингінің деректері бойынша, ұрланған активтер қатарына: 909 ETH, 270 000 DAI, 167 wstETH және басқа да бірқатар криптовалюталар кірді. Шабуыл жеті түрлі актив бойынша жүргізілді, бұл зиянкестің протоколдың ішкі архитектурасын терең түсінгенін көрсетеді.
Мәселенің тарихы және команданың ұстанымы
Aztec Connect 2022 жылы жеке DeFi-көпір ретінде іске қосылды. 2023 жылдың наурызында команда депозиттерді қабылдауды тоқтатып, барлық ресурстарды Aztec Network әзірлеуге ауыстырды. Әзірлеушілер ескірген келісімшартқа әкімшілік кілттері жоқ екенін және оны тоқтата алмайтынын немесе жаңарта алмайтынын мәлімдеді — келісімшарт бастапқыда өзгермейтін болып жасалған. Бұл қаражатты сақтауды жалғастыратын «өлі» немесе тасталған смарт-келісімшарттармен байланысты тәуекелдің классикалық мысалы.
Аналитик ретінде менің пікірім: Бұл оқиға «өлі» протоколдардың қауіпсіз емес екенін еске салатын қатаң ескерту. Өтімділігі бар кез келген смарт-келісімшарт, тіпті ол қолдау көрсетілмесе де, нысана болып қалады. Инвесторлар мен жоба командалары қолдауды тоқтатпас бұрын ескірген келісімшарттардан қаражатты қауіпсіз шығару тетіктерін әзірлеуі қажет. Бұл ережені елемеу ерте ме, кеш пе қаржылық шығынға әкеледі.