MEニュース、6月15日（UTC+8）、BlockSec PhalconがAztecの脆弱性イベントに関する分析を更新。調査の結果、今回のイベントの根本原因はアクセス制御の欠如ではなく、RollupProcessorV3におけるnumRealTxsがZK証明によって強制されるトランザクションセットと正しくバインドされていなかったことにある。 具体的には、証明検証パスではencodedInnerTxData内のすべてのトランザクションをデコードし、rollupマーチルツリーに挿入するが、L1決済ロジックは最初のnumRealTxs個のデコードスロットのみを処理する。攻撃者はこの不一致を悪用し、実際の預金トランザクションを後方のスロットに配置し、numRealTxsを小さな値に設定することで、decreasePendingDepositBalance()などのチェックを回避し、保証されていない資産残高を作成して引き出しが可能となった。攻撃トランザクションでは、攻撃者が複数の資産に対して一度に保証されていない残高を作成し、その後通常の引き出しプロセスで資金を引き出した。さらに、Aztec Connectは2024年3月31日に運用を停止していたが、RollupProcessorV3コントラクトは4月10日にも外部監査なしにアップグレードが実施された。（出典：Foresight News）
BlockSec、Aztecの脆弱性の根本原因をnumRealTxsとトランザクションセットの不一致と特定
KuCoinFlash共有
概要
BlockSecは、Aztecの脆弱性に関する新しいオンチェーン情報を公開し、その根本原因はRollupProcessorV3におけるnumRealTxsとトランザクションセットの不一致であると特定しました。攻撃者はこの脆弱性を悪用し、承認されていない残高を作成して資産を出金しました。この脆弱性の情報では、実際の入金が後のスロットに配置されながらnumRealTxsが较小の値に設定され、重要なチェックを回避していたことが指摘されています。この契約は2024年4月10日に外部監査なしでアップグレードされました。
出典:原文を表示
免責事項: 本ページの情報はサードパーティからのものであり、必ずしもKuCoinの見解や意見を反映しているわけではありません。この内容は一般的な情報提供のみを目的として提供されており、いかなる種類の表明や保証もなく、金融または投資助言として解釈されるものでもありません。KuCoinは誤記や脱落、またはこの情報の使用に起因するいかなる結果に対しても責任を負いません。
デジタル資産への投資にはリスクが伴います。商品のリスクとリスク許容度をご自身の財務状況に基づいて慎重に評価してください。詳しくは利用規約およびリスク開示を参照してください。