Aztec-тің ескірген келісімшарты тағы да шабуылға ұшырады: хакер $2,15 млн шығарып алды
18 маусымда зұлымдық жасаушы Aztec екінші деңгей желісіндегі белсенді емес смарт-келісімшартқа сәтті шабуыл жасады. Менің бағалауым бойынша, шығын шамамен $2,15 млн құрады. Бұл апта ішіндегі екінші оқиға және ол ескі протоколдардың мұрасына байланысты тәуекелдерді айқын көрсетеді.
Шабуыл 2022 жылы тоқтатылған Aztec Payments ескірген өніміне бағытталған. Атап өту маңызды: жобаның ағымдағы инфрақұрылымы мен пайдаланушылардың ағымдағы желідегі қаражаты зардап шеккен жоқ. Осындай осалдық PrivateRollupBridge келісімшартынан табылды — хакер дәлелдемелерді тексеру логикасындағы олқылықты пайдаланды. Шабуылды жүзеге асыруға ол небәрі 0,134 ETH (шамамен $230) жұмсады, бұл кодты терең түсінгенін көрсетеді.
Шығару нәтижесінде зұлымдық жасаушы 1158 ETH, 150 000 DAI және 0,47 renBTC алды. Ұрланған активтердің жалпы құны $2 млн-нан асады.
Aztec Labs командасы оқиғаны растады, бірақ әкімшілік кілттері жоқ екенін және келісімшарттарды тоқтата алмайтынын немесе жаңарту шығара алмайтынын атап өтті. Бұл жаңартылмайтын (immutable) смарт-келісімшарттарға тән мәселе: код орналастырылғаннан кейін оны бақылау мәңгілікке жоғалады. Бұл жағдайда ескірген келісімшарт екінші деңгейде тоқтатылған, бірақ зұлымдық жасаушы оның логикасын айналып өту жолын тапты.
Еске салайын, 14 маусымда ұқсас шабуыл басқа ескі маршрутизатор келісімшартына әсер етті, одан келген шығын $2,19 млн-ға жуық болды. Жалпы алғанда, бұл қысқа мерзім ішінде $4 млн-нан астам, бұл жүйелік мәселені көрсетеді: ұмытылған, бірақ әлі де белсенді келісімшарттар хакерлер үшін тартымды нысан болып табылады.
Менің аналитика: Бұл оқиға — жобалардың аудит жүргізіп, ескі келісімшарттарды желіде қалдырмай, уақытында деактивтендіруі қажет екенінің айқын мысалы. Орналастырудан кейін басқару механизмдерінің болмауы — екі ұшты қылыш: бір жағынан, цензурадан қорғау, екінші жағынан, осалдықтар алдында қорғансыздық. Егер Aztec мұраны қауіпсіздендірудің жолын таппаса, мұндай шабуылдар тұрақты болады.