W dniu 15 czerwca 2026 r. o 10:29:11 UTC Aztec Labs potwierdził eksploatację na swoim przestarzałym kontrakcie mostu Aztec Connect, co doprowadziło do straty około 2,1 miliona dolarów. Incydent nie dotknął aktywnego rollupu warstwy 2 sieci Aztec, lecz podkreśla utrzymujące się ryzyka w przestarzałej infrastrukturze DeFi.
Mechanika eksploatacji
Firma bezpieczeństwa BlockSec poinformowała, że niezgodność między zweryfikowanymi wejściami transakcji a logiką rozliczeń Ethereum pozwoliła inteligentnemu kontraktowi księgować aktywa bez właściwej walidacji dowodów. Ta niezgodność w powiązaniu umożliwiła atakującemu wprowadzanie transakcji bez pokrycia i wielokrotne wypłacanie środków z siedmiu pul aktywów.
- Zrabowane aktywa: 909 ETH, 270 000 DAI, 167 wstETH i kilka innych tokenów.
- Eksploatacja miała miejsce w siedmiu powtarzających się krokach wypłat.
- Wycofanie kontraktu uniemożliwiło deponowanie środków w marcu 2023 r.; nie pozostawały żadne klucze administracyjne.
Nieodwracalność i ryzyko
Kontrakty Aztec Connect zostały całkowicie niezmienialne po wycofaniu (deprecjacji), uniemożliwiając jakiekolwiek wstrzymanie lub aktualizację. Brak uprawnień administracyjnych sprawiał, że Aztec Labs mógł jedynie prowadzić dochodzenie i publikować wyniki śledcze bez możliwości zneutralizowania skompromitowanego kodu.
Kontekst eksploatacji DeFi
To naruszenie wpisuje się w szerszy trend strat w DeFi w czerwcu 2026 r., przekraczający 44 miliony dolarów w 12 atakach. Wcześniejsze incydenty obejmują kradzież klucza prywatnego o wartości 30 milionów USD w Humanity Protocol oraz atak na Syscoin Bridge o wartości 8 milionów USD z powodu wadliwego mechanizmu dowodowego.
Wnioski i dalsze kroki
Inwestorzy i twórcy powinni pamiętać, że wycofane systemy mogą pozostawać podatne na ataki długo po zakończeniu aktywności użytkowników. Zespoły protokołów muszą planować strategie wycofywania, które obejmują bezpieczne wygaszanie (sunsetting) lub mechanizmy wyłączania on-chain. Społeczność będzie śledzić szczegółowe ujawnienia forensyczne dotyczące problemu niepowiązania transakcji i oceni, czy podobne podatności utrzymują się w innych wycofanych kontraktach mostowych.
Audyty bezpieczeństwa, ciągłe monitorowanie i zarządzanie cyklem życia smart kontraktów są kluczowe w ograniczaniu ryzyka systemowego w DeFi.
Komentarze (0)