Взлом устаревшего контракта Aztec: ущерб $2,15 млн

18 июня в L2‑сети Aztec был взломан неиспользуемый смарт‑контракт: по предварительной оценке злоумышленнику удалось вывести активы на сумму около $2,15 млн. Уязвимость обнаружена в компоненте, относящемся к продукту Aztec Payments, который закрыли в 2022 году.

Атаку первыми зафиксировали аналитики CertiK; позднее инцидент подтвердили разработчики Aztec Labs. По их данным, эксплуатация использовала ошибку в логике проверки доказательств смарт‑контракта PrivateRollupBridge. На проведение операции злоумышленник потратил 0,134 ETH (примерно $230), после чего из контракта вывели 1158 ETH, 150 000 DAI и 0,47 renBTC.

Контракт, через который прошла атака, не использовался и был выведен из эксплуатации в 2022 году, поэтому, по заявлению команды Aztec, инцидент не затронул пользователей и активы в действующей сети проекта. В заявлении Aztec Labs указали: “мы не владеем административными ключами и не контролируем систему”, из‑за чего команда не может заморозить контракты или выпустить экстренное обновление для предотвращения подобных действий.

Для Aztec это второй крупный инцидент за несколько дней: 14 июня злоумышленники опустошили другой устаревший контракт‑маршрутизатор почти на $2,19 млн. Ранее, 8 июня, были зафиксированы компрометации кошельков, связанных с Humanity Protocol, с убытками примерно $31 млн.

Аналитики и команда Aztec продолжают изучение инцидента и отслеживание перемещений похищенных средств. Точные подробности эксплуатации уязвимости и возможные варианты возврата активов пока не раскрываются.