ME News повідомляє, що 15 червня (UTC+8) BlockSec Phalcon опублікував оновлення аналізу випадку з уразливістю Aztec. Після глибокого розслідування було встановлено, що кореневою причиною події не є відсутність контролю доступу, а невідповідність між numRealTxs у RollupProcessorV3 та множиною транзакцій, що підтверджуються ZK-доказом. Зокрема, шлях перевірки доказу декодує всі транзакції з encodedInnerTxData та вставляє їх у Merkle-дерево rollup, тоді як логіка L1-розрахунків обробляє лише перші numRealTxs декодованих слотів. Зловмисник використав цю невідповідність, розмістивши справжні депозитні транзакції у пізніших слотах, одночасно встановивши numRealTxs на невелике значення, щоб обійти перевірки, такі як decreasePendingDepositBalance(), і створити не підтверджені баланси активів, після чого успішно вивів кошти. У атакуючих транзакціях зловмисник одночасно створив не підтверджені баланси на кількох активах, а потім вивів їх через звичайний процес виведення. Крім того, хоча Aztec Connect був припинений 31 березня 2024 року, контракт RollupProcessorV3 був оновлений 10 квітня без зовнішнього аудиту. (Джерело: Foresight News)
BlockSec визначила основну причину вразливості Aztec як невідповідність між numRealTxs та набором транзакцій
KuCoinFlashПоділитися
Короткий зміст
BlockSec опублікував нові дані в мережі щодо вразливості Aztec, визначивши корінну причину як невідповідність між numRealTxs та набором транзакцій у RollupProcessorV3. Зловмисники використали цей недолік для створення несхвалених балансів та виведення активів. Новина про вразливість підкреслює, що реальні депозити розміщувалися у пізніших слотах, тоді як numRealTxs встановлювався на менше значення, що обходило ключові перевірки. Контракт був оновлений 10 квітня 2024 року без зовнішнього аудиту.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.