Ataque al protocolo muerto: hacker extrajo $2,1 millones del cerrado desde hace tiempo Aztec Connect
El 14 de junio, un atacante logró vulnerar con éxito el protocolo Aztec Connect, que había dejado de funcionar hace tres años. El monto del daño superó los $2,1 millones en activos digitales. Este incidente es un claro ejemplo de cómo los contratos inteligentes "muertos" continúan representando riesgos para el ecosistema.
Los expertos en seguridad detectaron una transacción sospechosa e identificaron rápidamente el vector de ataque. La vulnerabilidad residía en una verificación incompleta de las pruebas (proof verification). El mecanismo clave del contrato inteligente solo verificaba la parte inicial de los datos proporcionados, mientras que las instrucciones para la transferencia de tokens, contenidas en otra parte, quedaban sin el control adecuado. Esto permitió al hacker alterar la lógica de retiro de fondos y, de manera legítima desde la perspectiva del contrato, retirar casi $2,19 millones.
Protocolo fantasma y postura de los desarrolladores
El equipo de Aztec Labs confirmó el exploit, pero enfatizó que no tiene relación con el estado actual del protocolo. Aztec Connect fue descontinuado hace tres años y los desarrolladores no poseen las claves administrativas para gestionar o detener el contrato.
"No podemos detener el sistema ni actualizarlo. No tenemos control", declararon representantes de Aztec Labs. Al mismo tiempo, aseguraron que el incidente no afecta al token actual AZTEC (ERC-20) ni a los contratos inteligentes activos de la red principal de Aztec. Se está llevando a cabo una investigación, pero el equipo ya no puede influir en la situación a posteriori.
Tendencia alarmante de junio
Este hackeo ocurrió apenas unos días después del ataque a los antiguos pools de liquidez de Raydium en la red Solana, donde el hacker retiró alrededor de $1,3 millones. Según datos de analistas, el daño total por hackeos en DeFi desde principios de junio ya supera los $43,93 millones. El ataque a Aztec Connect es un eslabón más en esta alarmante cadena, demostrando que los contratos "olvidados" siguen siendo un objetivo atractivo.
Comentario de Cryptalist: Este caso es un duro recordatorio de que en DeFi no existe el concepto de "prescripción". Cualquier contrato, una vez desplegado en la blockchain, se vuelve eterno. Los usuarios deben extremar la precaución al interactuar con protocolos obsoletos, y los equipos de proyectos deberían prever mecanismos de "autodestrucción" o bloqueo de contratos tras cesar su soporte.