Aztec Connect, une plateforme DeFi dépréciée liée au réseau Aztec, aurait été vidée d'environ 2,1 millions de dollars en crypto après qu'un attaquant a exploité une vulnérabilité dans la logique de vérification des transactions de la plateforme. Cet incident met en lumière comment les contrats 'abandonnés' peuvent rester des cibles viables longtemps après leur retrait officiel.

Aztec Labs a déclaré sur X qu'ils enquêtaient sur une potentielle exploitation affectant Aztec Connect et qu'environ 2,1 millions de dollars avaient été transférés depuis le smart contract de la plateforme. La société a ajouté que le problème n'avait pas impacté les utilisateurs ou les actifs sur le réseau Aztec actuel.

Points clés à retenir

• Environ 2,1 millions de dollars ont été dérobés à Aztec Connect après que l’attaquant a exploité son processus de vérification et de règlement.

• BlockSec a indiqué que les transactions vérifiées n’étaient pas effectivement liées à l’ensemble de transactions imposé par la preuve ZK, ouvrant ainsi la voie au retrait de soldes non adossés.

• L’attaquant aurait exécuté l’exploit sept fois sur sept actifs, accumulant notamment 909 ETH et 270 000 DAI.

• Aztec Connect a été déclaré obsolète en mars 2023, les dépôts ayant été suspendus et l’équipe s’étant tournée vers Aztec Network.

• Aztec Labs a déclaré ne détenir aucune clé d’administration et ne pas pouvoir mettre Aztec Connect en pause ni le mettre à niveau, tandis qu’un développeur a indiqué que les contrats étaient devenus entièrement immuables.

Ce qu’Aztec Labs a déclaré

Dans sa mise à jour publique, Aztec Labs a décrit un exploit apparent visant un contrat intelligent d’Aztec Connect et indiqué qu’environ 2,1 millions de dollars avaient été transférés. La société a souligné que l’incident n’avait pas affecté les actifs ni les soldes des utilisateurs sur le réseau Aztec en service.

Aztec Connect est associé à l’écosystème de rollups ZK axé sur la confidentialité et construit sur Ethereum. Selon les informations fournies dans le même article, Aztec Connect était une version antérieure de la plateforme, lancée en 2022 sous la forme d’un pont DeFi.

Comment la faille de vérification a permis les retraits

La société de sécurité BlockSec a déclaré que l’attaquant avait exploité une divergence entre la manière dont Aztec Connect vérifiait les transactions et celle dont il les réglait sur Ethereum.

L’explication de BlockSec portait principalement sur la manière dont le système gérait le lien entre les transactions vérifiées et l’ensemble de transactions imposé par la preuve ZK. Selon la société, les transactions approuvées par le processus de vérification d’Aztec Connect n’étaient pas effectivement liées à l’ensemble de transactions imposé par la preuve ZK. Cette lacune a permis à la logique de vérification et de règlement du contrat sur Ethereum d’interpréter différemment la liste des transactions.

En exploitant cette incohérence, l’attaquant pouvait soumettre des transactions de telle sorte que le contrat crédite une valeur sans que la validation correspondante ait lieu sur Ethereum. BlockSec a indiqué que cela permettait de créer des soldes non adossés, qui pouvaient ensuite être retirés.

BlockSec a également indiqué que l’attaquant avait répété la technique à plusieurs reprises — sept fois sur sept actifs différents — plutôt que de se contenter d’un seul balayage.

Actifs dérobés signalés et contexte général des piratages

Le vol aurait notamment porté sur 909 Ether (ETH), 270 000 Dai (DAI), 167 ETH mis en staking sous forme tokenisée, ainsi que plusieurs autres cryptomonnaies. Un message distinct de CertiK, cité dans l’article d’origine, présentait des exemples de certains des actifs dérobés.

L’incident touchant Aztec Connect survient pendant une période particulièrement active en matière d’exploits DeFi. Les données de DeFiLlama citées dans l’article indiquent que 44 millions de dollars de cryptomonnaies ont été dérobés depuis le début du mois lors d’au moins 12 exploits distincts.

Plus tôt en juin, le vol le plus important mentionné était lié à la compromission d’une clé privée sur Humanity Protocol, avec 30 millions de dollars qui auraient été dérobés le 8 juin. L’article évoque également un incident distinct sur le pont Syscoin, la veille, lors duquel 8 millions de dollars auraient été volés au moyen d’un exploit reposant sur une fausse preuve.

Pourquoi le label « obsolète » n’a pas empêché l’attaque

Aztec Connect a officiellement été déclaré obsolète en mars 2023, lorsque les dépôts ont été suspendus et que l’équipe a réaffecté ses ressources de développement au réseau Aztec de nouvelle génération. Toutefois, cette mise hors service n’a pas éliminé le risque posé par la logique sous-jacente des contrats intelligents.

Aztec Labs a déclaré ne détenir aucune clé d’administration et ne pas pouvoir, par conséquent, mettre le système en pause ni le mettre à niveau. Cela signifie que l’équipe ne peut pas corriger les failles logiques connues ou nouvellement découvertes sur la plateforme, en particulier si le code du contrat reste sur Ethereum.

Un développeur crypto identifié sous le nom de « Param » a également déclaré que les contrats intelligents d’Aztec Connect étaient devenus entièrement immuables, ce qui signifie qu’ils ne pouvaient plus être mis à niveau ni mis en pause.

Cette combinaison — obsolescence sans possibilité de mise à niveau — aide à comprendre comment un exploit peut survenir bien après l’abandon d’un produit. Comme le souligne l’article, cet incident rappelle une fois de plus que des contrats DeFi abandonnés ou déclarés obsolètes peuvent encore attirer des attaquants des années plus tard, surtout lorsque l’exploit repose sur les propriétés fondamentales des contrats plutôt que sur des paramètres opérationnels temporaires.

Les prochains éléments à surveiller

Les enquêteurs chercheront probablement à déterminer si les fonds retirés ont été immédiatement transférés via des plateformes de liquidité ou s’ils restent traçables dans les flux sur la chaîne. De son côté, la réponse de l’écosystème Aztec pourrait consister à confirmer l’ampleur des conséquences et à renforcer la séparation entre la logique de vérification et celle de règlement. Pour les utilisateurs, la leçon pratique est de considérer les contrats déclarés obsolètes comme toujours risqués : un code immuable peut rester exploitable longtemps après la suspension des dépôts.

Cet article a d’abord été publié sous le titre « Un contrat intelligent abandonné d’Aztec Connect vidé de 2,1 millions de dollars » sur Crypto Breaking News – votre source fiable d’actualités crypto, d’actualités sur Bitcoin et d’informations sur la blockchain.