Según noticias de ME, el 15 de junio (UTC+8), BlockSec Phalcon publicó una actualización sobre el análisis del incidente de vulnerabilidad de Aztec. Tras una investigación profunda, se determinó que la causa raíz del incidente no fue la falta de control de acceso, sino que numRealTxs en RollupProcessorV3 no se vinculó de forma obligatoria al conjunto de transacciones validado por la prueba ZK. Específicamente, la ruta de verificación de la prueba decodifica todas las transacciones en encodedInnerTxData y las inserta en el árbol Merkle del rollup, mientras que la lógica de liquidación en L1 solo procesa los primeros numRealTxs slots decodificados. El atacante aprovechó esta inconsistencia colocando transacciones de depósito reales en slots posteriores y estableciendo un valor pequeño para numRealTxs, lo que le permitió evadir controles como decreasePendingDepositBalance(), crear saldos de activos no respaldados y extraerlos exitosamente. En la transacción de ataque, el atacante creó saldos no respaldados simultáneamente en múltiples activos y luego los retiró mediante el proceso normal de retiro. Además, aunque Aztec Connect dejó de operar el 31 de marzo de 2024, el contrato RollupProcessorV3 fue actualizado el 10 de abril sin auditoría externa. (Fuente: Foresight News)
BlockSec identifica la causa raíz de la vulnerabilidad de Aztec como una discrepancia entre numRealTxs y el conjunto de transacciones
KuCoinFlashCompartir
Resumen
BlockSec lanzó nuevas noticias en la cadena sobre la vulnerabilidad de Aztec, identificando la causa raíz como una discrepancia entre numRealTxs y el conjunto de transacciones en RollupProcessorV3. Los atacantes manipularon esta falla para crear saldos no respaldados y retirar activos. La noticia sobre la vulnerabilidad destaca cómo los depósitos reales se colocaron en ranuras posteriores mientras numRealTxs se configuró con un valor más pequeño, evitando controles clave. El contrato se actualizó el 10 de abril de 2024 sin una auditoría externa.
Fuente:Mostrar original
Descargo de responsabilidad: La información contenida en esta página puede proceder de terceros y no refleja necesariamente los puntos de vista u opiniones de KuCoin. Este contenido se proporciona solo con fines informativos generales, sin ninguna representación o garantía de ningún tipo, y tampoco debe interpretarse como asesoramiento financiero o de inversión. KuCoin no es responsable de ningún error u omisión, ni de ningún resultado derivado del uso de esta información.
Las inversiones en activos digitales pueden ser arriesgadas. Evalúa con cuidado los riesgos de un producto y tu tolerancia al riesgo en función de tus propias circunstancias financieras. Para más información, consulta nuestras Condiciones de uso y la Declaración de riesgos.