Una amenaza latente: un hacker extrajo $2,1 millones del protocolo Aztec Connect, cerrado hace mucho tiempo.
El 14 de junio detecté una actividad sospechosa relacionada con el protocolo Aztec Connect. Un atacante, aprovechando una vulnerabilidad crítica en el mecanismo de verificación de pruebas, logró extraer más de $2,1 millones de los contratos inteligentes de un proyecto que llevaba mucho tiempo inactivo.
Los especialistas en seguridad blockchain identificaron rápidamente una transacción anómala y llamaron la atención de la comunidad. El análisis mostró que la raíz del problema radica en una verificación incompleta de las pruebas presentadas. Una de las funciones del contrato solo verificaba la parte inicial de los datos, dejando sin el control adecuado las instrucciones de transferencia de tokens contenidas en otro segmento. Esta brecha permitió al atacante alterar el mecanismo de retiro de fondos y apropiarse de aproximadamente $2,19 millones.
La Fundación Aztec confirmó haber recibido información sobre el incidente. En un comunicado oficial, los desarrolladores enfatizaron que la situación no afecta al token AZTEC del estándar ERC-20 ni a los contratos inteligentes de la red activa de Aztec. El punto clave que quiero destacar: Aztec Connect fue cerrado y dejó de funcionar hace tres años. Aztec Labs ya no gestiona este protocolo, no tiene claves administrativas y, en esencia, carece de la capacidad de intervenir.
«Aztec Labs no tiene claves de administración ni obtiene control sobre el sistema. No podemos suspenderlo ni actualizarlo», declaró el equipo de desarrolladores.
Este hackeo no es un caso aislado, sino parte de una tendencia alarmante. Solo unos días antes, los hackers extrajeron aproximadamente $1,3 millones de cinco grupos de liquidez obsoletos en la red Solana (Raydium). Según los agregadores de DeFi, el daño total de ataques similares desde principios de junio ya supera los $43,93 millones.
Análisis de Cryptalist: Este incidente es un claro recordatorio de los riesgos «dormidos» en DeFi. Los protocolos cerrados o abandonados son bombas de tiempo digitales. Su código permanece para siempre en la blockchain y, como vemos, las vulnerabilidades no prescriben. Para los usuarios, esto es una señal: incluso si un proyecto ha dejado de existir, sus fondos atrapados en sus contratos pueden estar en peligro. El mercado debe desarrollar mecanismos de «enterramiento» o retiro forzoso de liquidez de estos protocolos «muertos».