Aztec 过时智能合约遭清空：黑客利用验证漏洞窃取 210 万美元
我的分析系统检测到 Aztec Network 生态系统中发生了一起严重事件。攻击者成功攻击了该平台已过时的智能合约 Aztec Connect，盗取了约 210 万美元的加密货币。此次攻击通过一笔绕过标准安全检查的交易实施。
该事件专门针对 Aztec Connect——一个用于隐私 DeFi 交易的解决方案，该方案已于 2023 年正式停止运营。尽管 Aztec Labs 团队已放弃对该协议的支持，但仍有大量资金被锁定在其基础设施中。需要强调的是：当前的 Aztec Network 网络及其中的用户资产并未受到影响。
漏洞根源：验证逻辑的不一致
BlockSec 的安全专家进行了初步分析，并发现了关键问题。此次攻击之所以可能发生，是因为智能合约层面的交易验证与以太坊基础层中的实际结算之间存在根本性不一致。攻击者利用了验证路径和操作逻辑在解释交易列表时的差异。结果，合约可以在未经 L1 区块链实际验证的情况下计入资产价值。简而言之，黑客创建了无担保余额并提取了真实资产。
根据 CertiK 的监控数据，被盗资产包括：909 枚 ETH、270,000 枚 DAI、167 枚 wstETH 以及其他多种加密货币。攻击涉及七种不同的资产，这表明攻击者对协议的内部架构有深刻理解。
事件背景与团队立场
Aztec Connect 于 2022 年作为隐私 DeFi 桥接方案推出。2023 年 3 月，团队停止接受存款，将全部资源转向 Aztec Network 的开发。开发者表示，他们没有该过时合约的管理密钥，无法暂停或升级它——该合约从一开始就是不可变的。这是一个与“已死”或废弃智能合约相关的典型风险案例，这些合约仍继续持有资金。
作为分析师，我的评论： 这起事件是一个严峻的提醒：“已死”的协议并不安全。任何具有流动性的智能合约，即使不再受支持，仍然是攻击目标。投资者和项目团队需要在放弃支持之前，设计机制以安全地从过时合约中提取资金。忽视这一规则迟早会导致财务损失。