Contrato obsoleto de Aztec pirateado por $2 millones: el exploit afectó a un producto abandonado de 2021
El 18 de junio se produjo un ataque a un contrato inteligente inactivo en la red de segunda capa Aztec. Según mis estimaciones, el daño total del ataque ascendió a aproximadamente 2,15 millones de dólares. El atacante logró retirar 1158 ETH, 150 000 DAI y 0,47 renBTC, gastando solo 0,134 ETH (~230 dólares) para ejecutar el ataque.
La vulnerabilidad se encontró en la lógica de verificación de pruebas del contrato PrivateRollupBridge, que pertenecía al producto de pago obsoleto Aztec Payments, cerrado ya en 2022. Es importante destacar que la versión actual de la red y los activos de sus usuarios no se vieron afectados: el ataque solo afectó a un contrato no utilizado y "congelado".
Este es ya el segundo incidente en un corto período de tiempo. El 14 de junio, otro contrato de enrutador inactivo fue vaciado por casi 2,19 millones de dólares. Los representantes de Aztec Labs confirmaron que no poseen claves administrativas y no pueden bloquear los contratos ni lanzar un parche para prevenir ataques similares. El sistema sigue siendo completamente descentralizado y sin gobierno, lo que en este caso jugó en contra de la seguridad.
Mi comentario: Incidentes como este son una señal de alerta para todo el ecosistema L2. Los contratos abandonados pero inmutables se convierten en "minas de tiempo". Los equipos de proyectos deberían implementar más activamente mecanismos de pausa o actualización automática para contratos inteligentes no utilizados; de lo contrario, veremos más ataques de este tipo a las "ruinas digitales" de años pasados.