El contrato inteligente obsoleto de Aztec ha sido vaciado: un hacker extrajo $2,1 millones debido a un error de verificación
Mis sistemas analíticos han detectado un incidente grave en el ecosistema de Aztec Network. Un atacante logró vulnerar un contrato inteligente obsoleto de la plataforma Aztec Connect, extrayendo aproximadamente $2,1 millones en criptomonedas. El ataque se realizó a través de una transacción que eludió las verificaciones de seguridad estándar.
El incidente afectó específicamente a Aztec Connect, una solución para transacciones DeFi privadas que fue oficialmente descontinuada en 2023. A pesar de que el equipo de Aztec Labs abandonó el soporte de este protocolo, una parte significativa de los fondos permanecía bloqueada en su infraestructura. Es importante destacar: la red actual de Aztec Network y los activos de los usuarios en ella no se vieron afectados.
Raíz de la vulnerabilidad: discrepancia en la lógica de verificación
Especialistas de BlockSec realizaron un análisis preliminar e identificaron el problema clave. El ataque fue posible debido a una discrepancia fundamental entre la verificación de transacciones a nivel del contrato inteligente y su cálculo real en la capa base de Ethereum. El atacante aprovechó la diferencia en cómo la ruta de verificación y la lógica de operaciones interpretaban la lista de transacciones. Como resultado, el contrato podía acreditar el valor de los activos sin su verificación real en la blockchain L1. En términos simples, el hacker creó saldos no respaldados y retiró fondos reales.
Según los datos de monitoreo de CertiK, los activos robados incluyen: 909 ETH, 270 000 DAI, 167 wstETH, así como otras criptomonedas. El ataque se realizó sobre siete activos diferentes, lo que indica un profundo conocimiento del atacante sobre la arquitectura interna del protocolo.
Antecedentes y posición del equipo
Aztec Connect fue lanzado en 2022 como un puente DeFi privado. En marzo de 2023, el equipo dejó de aceptar depósitos, redirigiendo todos los recursos al desarrollo de Aztec Network. Los desarrolladores declararon que no poseen claves administrativas del contrato obsoleto y no pueden pausarlo ni actualizarlo; el contrato era inherentemente inmutable. Este es un ejemplo clásico del riesgo asociado con contratos inteligentes "muertos" o abandonados que continúan almacenando fondos.
Mi comentario como analista: Este incidente es un duro recordatorio de que los protocolos "muertos" no son seguros. Cualquier contrato inteligente con liquidez, incluso si no tiene soporte, sigue siendo un objetivo. Los inversores y los equipos de proyectos deben desarrollar mecanismos para la retirada segura de fondos de contratos obsoletos antes de abandonar su soporte. Ignorar esta regla, tarde o temprano, conduce a pérdidas financieras.