Aztec Connect-тің күйреуі: қайта шабуыл хакерлерге тағы $2,2 млн әкелді
Aztec Connect деп аталатын тасталған протокол қайтадан бұзушылардың құрбаны болды. 18 маусымда хакерлер оның смарт-келісімшарттарынан шамамен $2,2 млн сомасындағы қосымша қаражатты шығарып үлгерді. Бұл 14 маусымда болған шабуылдан кейінгі бір апта ішіндегі екінші оқиға.
Екінші шабуылдың егжей-тегжейлері
Бұл жолы бұзушы 1158 ETH, 150 000 DAI және шамамен 0,47 renBTC токенін ұрлады. Шабуыл құрылымы алдыңғысына ұқсас болды, бірақ басқа өтімділік пулына бағытталып, басқа кіру нүктесі арқылы жүзеге асырылды. Қауіпсіздік мамандары, атап айтқанда BlockSec Phalcon және SlowMist, бұзу механизмін жедел анықтады.
Осылайша, осалдықтың түбірі, алдыңғы реттегідей, escapeHatch функциясында — «апаттық люкте» жатыр. Бұл механизм пайдаланушыларға негізгі жүйе істен шыққан жағдайда өз қаражаттарын тікелей алуға мүмкіндік беру үшін жасалған болатын. Алайда сыни қателік тиісті рұқсаттарды тексерудің болмауында еді. Хакерге активтерге иелік етудің жалған «дәлелін» ұсыну жеткілікті болды, ал келісімшарт тексерусіз оған бөтен қаражатты сөзсіз аударып берді.
Неліктен шабуылды тоқтату мүмкін емес
Жағдайды Aztec Connect — бұл бұрыннан тасталған өнім екендігі қиындатады. Ethereum желісіндегі жеке DeFi операцияларына көпір қызметін атқарған протокол 2023 жылы-ақ пайдаланудан шығарылған болатын, сол кезде Aztec Labs командасы жаңа желіні әзірлеуге көшкен еді.
Жабылғаннан кейін әзірлеушілер келісімшарттарды басқару кілттерінен бас тартып, оларды толығымен өзгермейтін (immutable) етіп жасады. Бұл кодтың желіде мәңгі қатып қалғанын білдіреді: оны жаңарту, түзету немесе кідірту мүмкін емес. Aztec Labs командасының ұрлыққа араласып, оны тоқтатуға техникалық мүмкіндігі жоқ.
Бұл оқиғаның AZTEC токеніне де, қазіргі Aztec желісіне де әсер етпейтінін атап өту маңызды — бұл толығымен оқшауланған жүйе. Алайда бұл жағдай DeFi-дің жасырын қаупін еске салады: тіпті «өлі» және тасталған смарт-келісімшарттар да, оларда қаражат сақталғанша, нысана болып қала береді.
Менің талдауым: Бұл жағдай — жобадан бас тартқан кезде «зиян келтірмеу» қағидасын елемеудің пайдаланушылар үшін тікелей қаржылық шығынға әкелуінің классикалық мысалы. Aztec Connect оқиғалары бүкіл сала үшін дабыл қағуы керек: протоколды жапқан кезде қауіпсіз көшіру немесе келісімшарттарды толық жою тетіктерін қарастыру қажет, оларды жай ғана «мәңгілік сапарға» жіберу емес. DeFiLlama деректері бойынша, тек 2026 жылдың маусым айында кемінде 12 шабуыл нәтижесінде шамамен $44 млн ұрланған — егер ескірген смарт-келісімшарттарды басқару тәсілі өзгертілмесе, бұл сан тек өсе береді.