Хакер $2,1 млн шығарып алды өлі протокол Aztec Connect-тен: смарт-келісімшарттардың қауіпсіздігі бойынша сабақ
14 маусымда нарыққа «өлі» протоколдар үшін де аудиттің маңыздылығын тағы бір рет еске салған оқиға болды. Шабуылдаушы үш жыл бұрын ресми түрде жабылған Aztec Connect платформасының смарт-келісімшарттарынан $2,1 млн астам қаражатты шығарып үлгерді.
Қауіпсіздік мамандары жүргізген транзакцияны талдау дәлелдемелерді тексеру механизміндегі осалдықты анықтады. Негізгі мәселе смарт-келісімшарттағы тексеру функциясының берілген деректердің тек бастапқы бөлігін ғана салыстырып, токендерді аудару жөніндегі нұсқауларды тиісті бақылаусыз қалдыруында болды. Бұл шабуылдаушыға қаражатты шығару логикасын алмастырып, өз әмиянына өтімділікті бағыттауға мүмкіндік берді.
Aztec Labs командасы бұзылу фактісін растады, бірақ әкімшілік кілттері де, келісімшарттарды тоқтату немесе жаңарту мүмкіндігі де жоқ екенін атап өтті. «Біз бұл жүйені бақыламаймыз және болып жатқан оқиғаға әсер ете алмаймыз», — деді әзірлеушілер, бұл оқиға ағымдағы AZTEC (ERC-20) токеніне және Aztec желісінің белсенді смарт-келісімшарттарына әсер етпейтінін қосып айтты.
Бұл жағдай — DeFi мұрасының «үнсіз бомба» сияқты кешіктірілген әрекет ететінінің айқын мысалы. Тасталған, бірақ келісімшарттары блокчейнде қалған протоколдар ескі, түзетілмеген осалдықтарды іздейтін хакерлер үшін тамаша нысана болып табылады.
Айта кетерлігі, Aztec Connect-тің бұзылуы Raydium (RAY)-ға жасалған шабуылдан бірнеше күн өткен соң болды, онда шабуылдаушылар Solana желісіндегі пайдаланылмаған бес өтімділік пулынан шамамен $1,3 млн шығарды. Агрегаторлардың деректері бойынша, маусым басынан бері бұзылулардан келген жалпы шығын $43,93 млн-нан асты, бұл алаңдатарлық үрдісті көрсетеді: хакерлер «ұйықтап жатқан» активтерге көбірек аң аулауда.
Аналитик пікірі: Бұл оқиға — барлық жобалар үшін қатаң ескерту: пайдаланушы интерфейсін өшіру тәуекелдерді өшіруді білдірмейді. Желіде бір рет орналастырылған кез келген смарт-келісімшарт мәңгілік нысана болып қалады. Командалар не жабылған кезде келісімшарттардың өзін-өзі жою механизмдерін қарастыруы, не барлық қаражатты мәжбүрлеп шығарумен соңғы аудит жүргізуі керек. Әйтпесе, біз DeFi «елестеріне» осындай шабуылдардың көбейгенін көреміз.