Aztec Connect-ке қайта соққы: хакер тасталған протоколдан тағы $2,2 млн шығарып алды
18 маусымда зұлымдық жасаушы тасталған Aztec Connect хаттамасына екінші соққы беріп, шамамен $2,2 млн ұрлады. Бұл 14 маусымдағы бірінші шабуылдан бірнеше күн өткен соң болды. BlockSec Phalcon және SlowMist әріптестерінің мәліметінше, хакер 1158 ETH, 150 000 DAI және шамамен 0,47 renBTC токенін шығарып әкеткен.
Екінші шабуыл көп жағынан біріншісін қайталады, бірақ басқа өтімділік пулына бағытталып, басқа кіру нүктесі арқылы жүзеге асты. Алдыңғы реттегідей, осалдық escapeHatch функциясынан — «апаттық люк» деп аталатын жерден табылды. Бұл механизм негізгі жүйе жұмысын тоқтатқан жағдайда пайдаланушылардың өз қаражатын тікелей қайтаруына мүмкіндік беруге арналған. Мәселе мынада: бұл функцияда кіру құқығын тексеру болмаған — яғни есік кез келген адамға ашық болған.
Шабуыл қалай жүзеге асты
Қарапайым түсіндіретін болсақ, жүйе адамның шығаруға тырысқан активтеріне иелігін шынымен тексеруі керек еді. Алайда кодтағы қателікке байланысты бұл процедураны айналып өтуге болатын. Зұлымдық жасаушы активтерге иеліктің жалған «дәлелін» ұсынды, ал келісімшарт оған сеніп, бөтен криптовалюталарды беріп қойды. Қызықты бір жайт: осал механизмді әзірлеушілер негізгі кодтан бұрыннан алып тастаған еді. Алайда желіде орналастырылған келісімшарт әлі де ескі тексеру модулін қамтыған, және бұл шабуылдың сәтті болуына жеткілікті болды. Яғни, олқылық жылдар бойы бәрі белсенді емес деп санаған кодта өз кезегін күтіп жатты.
Неліктен шабуылды тоқтату мүмкін болмады
Мәселенің түбірі — Aztec Connect бұрыннан тасталған өнім. Бұл хаттама Ethereum блокчейніндегі DeFi-де жеке операцияларға арналған көпір болған, бірақ ол 2023 жылы-ақ пайдаланудан шығарылған, себебі Aztec Labs командасы жаңа желіге ауысқан. Жабылғаннан кейін әзірлеушілер басқару кілттерінен бас тартты, ал келісімшарттар өзгермейтін (immutable) болып қалды. Бұл кодтың желіде мәңгіге қатып қалғанын білдіреді: оны жаңарту, түзету немесе тоқтата тұру мүмкін емес. Команданың араласып, ұрлықты тоқтатуға техникалық мүмкіндігі жоқ.
Атап өту маңызды: бұл оқиға AZTEC токеніне де, қазіргі Aztec желісіне де қатысы жоқ — бұл толығымен бөлек жүйе. Бұл жағдай DeFi-дің жасырын қаупін тағы бір рет көрсетеді: тіпті тасталған смарт-келісімшарттар да онда ақша сақталғанша нысана болып қала береді. DeFiLlama деректері бойынша, тек 2026 жылдың маусым айында кемінде 12 шабуыл нәтижесінде шамамен $44 млн ұрланған.
Менің сараптамалық пікірім: Бұл оқиға бүкіл сала үшін айқын сабақ. Өтімділігі бар тасталған хаттамалар — «баяулатылған бомбалар». Командалар қолдау тоқтатылған кезде мәжбүрлі деактивация немесе қаражатты автоматты түрде шығару механизмдерін енгізуі керек, әйтпесе мұндай оқиғалар қайталана береді.