Aztec Connect, una plataforma DeFi obsoleta vinculada a la red Aztec, fue supuestamente drenada de alrededor de $2.1 millones en cripto después de que un atacante explotara una vulnerabilidad en la lógica de verificación de transacciones de la plataforma. El incidente resalta cómo los contratos 'abandonados' pueden seguir siendo objetivos viables mucho después de ser oficialmente retirados.
Aztec Labs dijo en X que está investigando un posible exploit que afecta a Aztec Connect y que aproximadamente $2.1 millones fueron transferidos del contrato inteligente de la plataforma. La compañía añadió que el problema no impactó a los usuarios ni a los activos en la red actual de Aztec.
Puntos clave
Alrededor de $2.1 millones fueron robados de Aztec Connect después de que el atacante abusara de su camino de verificación y liquidación.
BlockSec dijo que las transacciones verificadas no estaban efectivamente vinculadas al conjunto de transacciones impuesto por la prueba ZK, creando un camino para retirar saldos no respaldados.
El atacante supuestamente ejecutó el exploit siete veces en siete activos, acumulando 909 ETH y 270,000 DAI, entre otros.
Aztec Connect fue declarado obsoleto en marzo de 2023, con depósitos detenidos y el equipo trasladándose a Aztec Network.
Aztec Labs declaró que no tiene llaves de administrador y no puede pausar ni actualizar Aztec Connect, mientras que un desarrollador dijo que los contratos se volvieron completamente inmutables.
Lo que Aztec Labs dijo que ocurrió
En su actualización pública, Aztec Labs describió un aparente exploit que afectó el contrato inteligente de Aztec Connect y señaló que alrededor de $2.1 millones fueron transferidos. La firma enfatizó que el incidente no afectó los activos o saldos de los usuarios en la red Aztec activa.
Aztec Connect está vinculado al ecosistema de rollups ZK enfocado en la privacidad construido sobre Ethereum. Según el mismo contexto proporcionado en el informe, Aztec Connect fue una versión anterior de la plataforma lanzada en 2022 como un puente DeFi.
Cómo la debilidad en la verificación permitió retiros
La firma de seguridad BlockSec dijo que el atacante aprovechó un desajuste en cómo Aztec Connect verificaba las transacciones en comparación con cómo las liquidaba en Ethereum.
La explicación de BlockSec se centró en cómo el sistema manejó la relación entre las transacciones verificadas y el conjunto de transacciones impuesto por la prueba ZK. En su opinión, las transacciones aprobadas a través de la ruta de verificación de Aztec Connect no estaban efectivamente vinculadas al conjunto de transacciones impuesto por la prueba ZK. Esa brecha permitió que la lógica de verificación y liquidación del contrato en Ethereum interpretara la lista de transacciones de manera diferente.
Con esa inconsistencia, el atacante pudo colocar transacciones de tal manera que el contrato acreditara valor sin que la validación correspondiente ocurriera en Ethereum. BlockSec dijo que esto permitió la creación de saldos no respaldados, que luego pudieron ser retirados.
BlockSec también reportó que el atacante repitió la técnica múltiples veces—siete veces en siete activos diferentes—en lugar de depender de un solo barrido.
Activos robados reportados y el contexto más amplio del hacking
El robo incluyó supuestamente 909 Ether (ETH), 270,000 Dai (DAI), 167 wrapped staked ETH y varias otras criptomonedas. Un post separado de CertiK había sido citado en el reporte original mostrando ejemplos de algunos de los activos robados.
El incidente de Aztec Connect ocurre en medio de un período activo para exploits DeFi. Los datos de DeFiLlama referenciados en el reporte indican que hasta ahora este mes se han robado criptomonedas por un valor de $44 millones de al menos 12 exploits diferentes.
A principios de junio, el mayor robo mencionado estuvo relacionado con un compromiso de clave privada en el Humanity Protocol, con $30 millones supuestamente perdidos el 8 de junio. El reporte también señala un incidente separado del Syscoin Bridge el día anterior, donde se alegó que $8 millones fueron robados a través de un exploit de prueba falsa.
Por qué la etiqueta “obsoleta” no detuvo el ataque
Aztec Connect fue oficialmente declarado obsoleto en marzo de 2023, cuando se detuvieron los depósitos y el equipo redirigió los recursos de desarrollo hacia la próxima generación de Aztec Network. Sin embargo, el proceso de obsolescencia no eliminó el riesgo que plantea la lógica de contrato inteligente subyacente.
Aztec Labs declaró que no tiene llaves de administrador y, por lo tanto, no puede pausar ni actualizar el sistema. Esto significa que la incapacidad de la plataforma para ser ajustada por el equipo puede dejar fallos lógicos conocidos o emergentes sin abordar—especialmente si el código del contrato permanece en Ethereum.
Un desarrollador de criptomonedas identificado como “Param” también dijo que los contratos inteligentes de Aztec Connect se volvieron completamente inmutables, lo que significa que ya no podían ser actualizados o pausados.
Esa combinación—obsolescencia sin autoridad de actualización—ayuda a explicar cómo puede surgir un exploit mucho después de que un producto esté retirado. Como se mencionó en el reporte, el incidente es otro recordatorio de que los contratos DeFi abandonados o obsoletos aún pueden atraer a atacantes años después, particularmente cuando el exploit depende de la semántica fundamental del contrato en lugar de parámetros operativos temporales.
Qué observar a continuación
Los investigadores probablemente se centrarán en si los fondos retirados fueron movidos inmediatamente a través de venues de liquidez o permanecen rastreables en flujos en cadena, mientras que la respuesta del ecosistema Aztec puede centrarse en confirmar el alcance del impacto y fortalecer los límites entre la lógica de verificación y liquidación. Para los usuarios, la conclusión práctica es tratar los contratos obsoletos como todavía riesgosos: el código inmutable puede seguir siendo explotable mucho después de que se detengan los depósitos.
Este artículo fue publicado originalmente como Aztec Connect Abandoned Smart Contract Drained $2.1M en Crypto Breaking News – tu fuente confiable de noticias sobre criptomonedas, noticias de Bitcoin y actualizaciones sobre blockchain.