Una vulnerabilidad en un contrato abandonado de Aztec Connect resultó en una pérdida de $2,1 millones: análisis detallado del incidente
Hoy recibí una señal sobre un incidente grave en el ecosistema de Aztec Network. Un atacante logró retirar aproximadamente $2,1 millones de un antiguo contrato inteligente de la plataforma Aztec Connect, una solución para transacciones privadas que fue desactivada en 2023. El ataque afectó a un contrato inmutable, no actualizable, lo que hizo imposible proteger los fondos.
¿Cómo ocurrió el ataque?
Según mi análisis, la raíz del problema radica en una discrepancia entre la lógica de verificación de transacciones y su cálculo final a nivel de Ethereum (L1). Los expertos de BlockSec ya señalaron que, debido a diferencias en la interpretación de la lista de transacciones, el contrato podía acreditar fondos sin la debida verificación en la red principal. El atacante aprovechó esto, creando saldos no respaldados y realizando retiros de siete activos diferentes.
¿Qué fue robado?
Los datos de Certik confirman la magnitud: entre los activos robados se encuentran 909 ETH, 270 000 DAI, 167 wstETH y varios otros tokens. Es importante destacar que el ataque se dirigió exclusivamente a la infraestructura antigua de Aztec Connect, que no aceptaba depósitos desde marzo de 2023. El equipo de Aztec Labs aseguró que la red actual del proyecto y los fondos de los usuarios en ella no se vieron afectados.
¿Por qué ocurrió esto ahora?
Aztec Connect se lanzó en 2022 como un puente DeFi para operaciones privadas. Tras su desactivación, el equipo redirigió todos los recursos al desarrollo del nuevo protocolo L2 Ignition Chain, que se lanzó en la red principal de Ethereum en noviembre de 2025. El punto clave: los desarrolladores no tienen claves administrativas para los contratos antiguos y no pueden detenerlos ni actualizarlos. Este es un ejemplo clásico del riesgo de "código muerto", donde los contratos abandonados pero aún activos se convierten en objetivos para los hackers.
Mi conclusión experta
Este incidente sirve como un duro recordatorio para toda la industria. Incluso si un protocolo ha dejado de funcionar, los fondos que permanecen en contratos inmutables siguen siendo vulnerables. Los equipos deben prever mecanismos para la retirada segura de liquidez al desactivar contratos, y los usuarios deben retirar sus activos de versiones obsoletas de manera oportuna. En este caso, el atacante simplemente aprovechó una vulnerabilidad "dormida" que nadie podía corregir. Este es un argumento más a favor de una auditoría más exhaustiva de los procesos de ciclo de vida en DeFi.