Hackers drenam US$ 2 milhões do segundotracda Aztec em quatro dias, evidenciando o risco de protocolo abandonado

Ataques cibernéticos roubaram cerca de US$ 2 milhões de um produto de pagamentos Aztec desativado em 17 de junho, poucos dias depois de um ataque exploratório separado que teve como alvo a ponte Aztec Connect, também desativada, do projeto. 

Osdentconsecutivos reforçam um padrão crescente de hackers que atacamtracinteligentes abandonados que contêm fundos de usuários, mas não possuem uma equipe capaz de corrigi-los.

Como ostracinteligentes Aztec obsoletos foram explorados?

O pesquisador de segurança Cos sinalizou privado de rollup bridge da Aztectracem 18 de junho. Essas transações foram de 1.158 ETH, 150.000 DAI e 0,47 renBTC, que totalizaram aproximadamente US$ 2,15 milhões, de acordo com a publicação de Cos no X.

Otracvisado que a Cos destacou não é o mesmo que foi violado em 14 de junho. 

O pesquisador de segurança thisvishalsinghconfirmou no X que o vazamento da Private Rollup Bridge "é um incidente separadodent vazamento de US$ 2,1 milhões no contrato obsoleto da Aztec Connect,trachá alguns dias".

A Aztec Labs afirmou no X que estava "investigando uma possível vulnerabilidade que afetava um produto de pagamentos da Aztec descontinuado, de 2021", descrevendo otraccomo "um rollup imutável de estágio 2 que foi desativado em 2022"

A Fundação Aztec declarou que "o produto foi descontinuado há 4 anos e a Aztec Labs não mantém nenhum controle sobre o sistema".

O ataque de 14 de junho, documentado pela Aztec Labs em um relatório pós-ataque, explorou uma falha na forma como o sistema de verificação de provas do Aztec Connect e seu código de liquidação on-chain liam o mesmo lote de transações. O sistema de provas verificava as linhas em grupos de 32, enquanto o código de liquidação processava apenas a quantidade de transações que o lote declarava como "reais". 

Por meio de 14 envios de rollup cuidadosamente elaborados, agrupados em uma única transação, o atacante removeu aproximadamente 909 ETH, 270.513 DAI, 168 wstETH e vários tokens Yearn Vault, totalizando cerca de US$ 2,19 milhões, de acordo com a Aztec Labs.

Um ataque subsequente, em 15 de junho, utilizou a mesma técnica em posições remanescentes da ponte DeFi e levou consigo US$ 88.000.

O Aztec Connect era um zk-rollup que preservava a privacidade, lançado em 2022 e descontinuado em 2023. 

Em abril de 2024, a Aztec Labs renunciou a todas as funções administrativas e à autoridade de atualização na blockchain, após um ano incentivando os usuários a retirarem seus fundos. A medida foi tomada para permitir que os demais usuários que ainda possuíam fundos pudessem sair sem a intervenção da equipe. 

No entanto, isso também significava que a equipe da Aztec não tinha acesso para implementar qualquer correção caso alguma vulnerabilidade fosse detectada.

A empresa de segurança blockchain Blockaid informou que sua plataforma de monitoramento detectou a atividade preparatória do invasor cerca de seis minutos antes da transação de drenagem executada em 14 de junho. 

Por que protocolos obsoletos estão sob ataque?

com a Aztecdentnão são isolados. Em 15 de junho, DeFi o protocolo de opções Thetanuts Finance confirmou um ataque de US$ 2,1 milhões direcionado a um cofre legado do qual havia migrado anos antes. Esse ataque explorou uma falha na lógica de resgate do cofre, de acordo com a empresa de pesquisa de segurança ExVul.

A Blockful.eth destacou a tendência no X, escrevendo: "Nos últimos dias, tivemos 2 exploits expondo um risco que poucos se lembram que existe no DeFi:tracantigos com milhões de dólares ociosos."

Para protocolos que renunciam às chaves de administrador em nome da descentralização, a troca pode estar parecendo desvantajosa em retrospectiva, já que parece que os atacantes estão de olho neles. 

As perdas com exploits em DeFi em junho já ultrapassaram US$ 43 milhões na metade do mês, segundo DefiLlama, e ostracobsoletos parecem representar uma parcela crescente do total de perdas.

Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Assine nossa newsletter. É grátis.