Ескірген Aztec келісімшартының бұзылуы: хакер белсенді емес L2-протоколдан $2,15 млн шығарды
2026 жылғы 18 маусымда менің аналитикалық тобым Aztec екінші деңгей желісіндегі оқиғаны анықтады. Зиянкес пайдаланылмайтын смарт-келісімшартты сәтті шабуылдап, шамамен $2,15 млн сомасындағы қаражатты шығарып алды. Шабуыл 2022 жылы жабылған ескірген Aztec Payments өніміне бағытталған еді.
Алғашқы болып аномалияны CertiK мамандары анықтады, содан кейін Aztec Labs командасы бұзылуды ресми түрде растады. Осы осалдық PrivateRollupBridge келісімшартының дәлелдемелерін тексеру логикасынан табылды. Хакер шабуылды жүзеге асыруға бар болғаны 0,134 ETH (~$230) жұмсады, бұл пайдаланылған эксплойттің жоғары тиімділігін көрсетеді.
Оқиға нәтижесінде зиянкес 1158 ETH, 150 000 DAI және 0,47 renBTC шығарып алды. Атап өту маңызды: қазіргі белсенді Aztec желісі мен оның пайдаланушылары зардап шеккен жоқ — шабуыл тек белсенді емес компоненттерге әсер етті.
Бір экожүйедегі қайталанатын қауіп
Бұл қысқа уақыт ішіндегі екінші жағдай. 14 маусымда басқа ескірген маршрутизатор келісімшарты $2,19 млн-ға жуық қаражаттан тазартылды. Оқиғалардың мұндай тізбегі Aztec экожүйесіндегі мұрагерлік компоненттердің қауіпсіздігіне қатысты сұрақтар туғызады.
Aztec Labs өкілдері әкімшілік кілттері жоқ және осал келісімшарттарды бақыламайтынын мәлімдеді. Бұл команданың оларды қатыра алмайтынын немесе одан әрі шабуылдардың алдын алу үшін жаңарту шығара алмайтынын білдіреді. Бұл жағдай жоба аяқталғаннан кейін қолдаусыз қалатын қайтымсыз смарт-келісімшарттармен байланысты тәуекелдерді айқын көрсетеді.
Менің сараптамалық пікірім: Бұл оқиға ескірген келісімшарттарды уақтылы аудиттеу мен деактивациялаудың маңыздылығын атап көрсетеді. Тіпті тасталған протоколдар хакерлер үшін тартымды нысанаға айналуы мүмкін, әсіресе оларда өтімді активтер сақталса. Жоба командалары болашақта осындай шабуылдардың алдын алу үшін пайдаланылмайтын келісімшарттардан қаражатты автоматты түрде бұғаттау немесе көшіру тетіктерін енгізуі қажет.