Aztec-тің ескірген келісімшарты $2 млн-ға бұзылды: эксплойт 2021 жылғы тасталған өнімге әсер етті
18 маусымда Aztec екінші деңгей желісіндегі белсенді емес смарт-келісімшарт бұзылды. Менің бағалауым бойынша, шабуылдан келген жалпы шығын шамамен $2,15 млн құрады. Шабуылдаушы 1158 ETH, 150 000 DAI және 0,47 renBTC шығарып үлгерді, ал шабуылды жүзеге асыруға небәрі 0,134 ETH (~$230) жұмсады.
Осы осалдық 2022 жылы жабылған Aztec Payments ескі төлем өніміне қатысты PrivateRollupBridge келісімшартының дәлелдемелерін тексеру логикасынан табылды. Атап өту маңызды: желінің ағымдағы нұсқасы мен оның пайдаланушыларының активтері зардап шеккен жоқ — шабуыл тек пайдаланылмайтын, «қатырылған» келісімшартқа ғана әсер етті.
Бұл қысқа уақыт ішіндегі екінші оқиға. 14 маусымда тағы бір белсенді емес маршрутизатор келісімшарты $2,19 млн-ға жуық сомаға босатылды. Aztec Labs өкілдері әкімшілік кілттері жоқ екенін және осындай шабуылдардың алдын алу үшін келісімшарттарды бұғаттай алмайтынын немесе патч шығара алмайтынын растады. Жүйе толығымен орталықсыздандырылған және басқарылмайтын күйінде қалады, бұл жағдайда бұл қауіпсіздікке кері әсер етті.
Менің пікірім: Мұндай оқиғалар — бүкіл L2 экожүйесі үшін дабыл қоңырауы. Тасталған, бірақ өзгермейтін келісімшарттар «баяу әрекет ететін миналарға» айналады. Жоба командалары пайдаланылмайтын смарт-келісімшарттар үшін автоматты тоқтату немесе жаңарту механизмдерін белсенді енгізуі керек, әйтпесе біз өткен жылдардағы «цифрлық қирандыларға» тағы бірнеше осындай шабуылды көреміз.