- Los contratos heredados de la red Aztec fueron vaciados de más de $4M en tres días.
- Los ataques explotaron fallas en la lógica de verificación de pruebas de conocimiento cero.
- La red principal Aztec y el token AZTEC no se vieron afectados por las explotaciones.
La infraestructura legada de Aztec ha sufrido una ola coordinada de ataques, lo que ha provocado pérdidas que superaron los 4 millones de dólares en solo tres días.
Las explotaciones atacaron contratos inteligentes obsoletos que ya habían sido desactivados hace años, pero aún mantenían liquidez en la cadena.
A pesar de ser etiquetados como inactivos e inmutables, los contratos siguieron siendo accesibles para atacantes que explotaron debilidades en la lógica de verificación de pruebas de conocimiento cero.
Aunque los ataques no afectaron la red actual de Aztec ni su token AZTEC, revelaron riesgos de larga data asociados a sistemas DeFi retirados que siguen existiendo en Ethereum sin mantenimiento activo ni rutas de actualización.
Primera brecha: Aztec Connect saqueado de $2.1 millones
El primer incidente ocurrió el 14 de junio, cuando los atacantes explotaron el protocolo Aztec Connect, un puente privado ya obsoleto que fue cerrado oficialmente tras su fase de retiro.
El contrato ya se consideraba inactivo, pero aún contenía fondos residuales.
El atacante logró extraer aproximadamente $2.1 millones en activos digitales, incluyendo alrededor de 909 ETH, 270.000 DAI y 167 wstETH, junto con otras tenencias más pequeñas.
La explotación estuvo relacionada con fallas en la forma en que se manejaba la verificación de pruebas de rollup, lo que permitió aceptar pruebas inválidas o manipuladas como legítimas.
Lo que hizo la situación más crítica fue la naturaleza del contrato en sí.
Aztec Connect se describió como inmutable, lo que significa que no se podía pausar ni corregir una vez implementado.
Aunque se había animado previamente a los usuarios a retirar fondos antes del cierre, el saldo restante se convirtió en un objetivo fácil de explotación años después.
Los equipos de seguridad que revisaron el incidente señalaron una falla en la relación entre la validación de la prueba de conocimiento cero y la lógica de liquidación en cadena.
En términos sencillos, el sistema aceptó pruebas que no coincidían correctamente con el estado subyacente de la transacción, permitiendo al atacante activar retiros no autorizados.
Segundo ataque: Puente de Rollup privado explotado por $2.15 millones
Solo tres días después, un segundo exploit afectó a otro sistema heredado conocido como el Private Rollup Bridge.
Este contrato también formaba parte de la infraestructura anterior de Aztec y había sido descontinuado tras la transición away from earlier rollup designs.
En este caso, los atacantes vaciaron aproximadamente 1.158 ETH, valorados en cerca de $2,15 millones al momento del incidente.
El método utilizado fue diferente en la ejecución pero similar en la causa raíz técnica.
En lugar de manipular directamente los retiros mediante una incoherencia de prueba básica, el atacante aprovechó un mecanismo de “salida de emergencia” vulnerable incrustado en el diseño del puente.
Al enviar una prueba de conocimiento cero especialmente diseñada, el atacante pudo activar la lógica de salida del contrato.
El sistema validó incorrectamente la prueba y liberó los fondos sin verificar adecuadamente las transiciones de estado subyacentes.
Esto permitió al atacante extraer liquidez en una única secuencia coordinada.
Al igual que la explotación anterior, esta brecha no implicó la compromisión de claves privadas ni vulnerabilidades de reentrada.
En cambio, puso de manifiesto problemas más profundos en la estructura de la validación de pruebas en los sistemas rollup heredados, especialmente cuando los contratos permanecen permanentemente activos en la cadena después de haber sido oficialmente descontinuados.
Respuesta de Aztec y firmas de seguridad
Tras ambos incidentes, Aztec Labs y la Fundación Aztec confirmaron que los sistemas afectados eran productos obsoletos sin conexión con la red actual de Aztec ni con el ecosistema del token AZTEC.
La Fundación Aztec fue informada sobre una posible explotación que afectó a un producto obsoleto el 17 de junio de 2026. No existen vínculos entre este producto y ningún contrato inteligente relacionado con la red actual o el token AZTEC ERC20.
El producto fue descontinuado hace 4 años… https://t.co/kANaIuw8HF
— Aztec Foundation (@aztecFND) June 18, 2026
Destacaron que ninguno de los contratos podía actualizarse, pausarse o controlarse, ya que ambos fueron diseñados para ser inmutables al despliegue.
La firma de seguridad CertiK Alert también señaló la explotación del Private Rollup Bridge, identificando la dirección del atacante y confirmando el movimiento de fondos vinculados a una transacción específica de ethereum.
Su análisis coincidió con otras reseñas, sugiriendo que la vulnerabilidad se debía a fallas en la verificación de pruebas de conocimiento cero en lugar de errores convencionales en contratos inteligentes.
Los representantes de Aztec también aclararon que los incidentes del Puente Private Rollup y Aztec Connect fueron eventos separados, aunque ocurrieron dentro de un breve período de tiempo y compartieron debilidades técnicas similares.
La publicación Aztec Network pierde más de $4 millones en tres días por dos ataques consecutivos apareció primero en CoinJournal.