У Aztec вкрали $2,15 млн через старий смартконтракт

18 червня з невикористовуваного смартконтракту в L2-мережі Aztec вивели активи на суму близько $2,15 млн. Першими на інцидент звернули увагу аналітики CertiK, згодом атаку підтвердили в команді Aztec Labs.

За даними дослідників безпеки, зловмисник скористався помилкою в логіці перевірки доказів контракту PrivateRollupBridge. На здійснення транзакції зловмисник витратив приблизно 0,134 ETH (близько $230). З контракту були виведені 1158 ETH, 150 000 DAI та 0,47 renBTC; загальна оцінка втрат — близько $2,15 млн.

Aztec Labs повідомили, що уразливість містилася в платіжному продукті Aztec Payments, який припинили використовувати і закрили у 2022 році. Команда наголосила, що не володіє адміністративними ключами для цих старих контрактів і не має технічної можливості їх заморозити або негайно оновити код.

Через відсутність контролю над застарілими контрактами вони залишаються доступними в блокчейні й можуть містити непропатчені помилки. Фахівці з безпеки відзначають, що саме така ситуація дозволяє зловмисникам знаходити і експлуатувати слабкі місця в коді, доступному для виконання.

Інцидент 18 червня став другим випадком за кілька днів: 14 червня невідомі вивели майже $2,19 млн з іншого застарілого контракту маршрутизатора у мережі. Окремо 8 червня зафіксували злом гаманців, пов’язаних з проєктом Humanity Protocol, з втратами близько $31 млн, але цей випадок не пов’язують із Aztec.

Аналітики продовжують відстежувати маршрути переміщення викрадених коштів і перевіряти можливі конвертації або перекази через обмінні сервіси. Aztec Labs поки не оголосили про відшкодування втрат чи про системний аудит старого коду, що досі доступний у мережі.