- Les contrats hérités du réseau Aztec ont été vidés de plus de 4 M$ en trois jours.
- Les attaques ont exploité des failles dans la logique de vérification des preuves à divulgation nulle de connaissance.
- Le réseau principal Aztec et le jeton AZTEC n'ont pas été affectés par les exploitations.
L'infrastructure historique d'Aztec a été la cible d'une vague coordonnée d'attaques, entraînant des pertes dépassant 4 millions de dollars en seulement trois jours.
Les exploitations ciblaient des contrats intelligents obsolètes qui avaient déjà été désactivés il y a plusieurs années, mais qui conservaient encore une liquidité sur chaîne.
Bien que considérés comme inactifs et immuables, les contrats sont restés accessibles aux attaquants qui ont exploité des faiblesses dans la logique de vérification des preuves à divulgation nulle de connaissance.
Bien que les attaques n'aient pas affecté le réseau Aztec actuel ni son token AZTEC, elles ont révélé des risques persistants liés à des systèmes DeFi retirés qui continuent d'exister sur Ethereum sans maintenance active ni voies de mise à jour.
Première violation : Aztec Connect vidé de 2,1 millions de dollars
Le premier incident s'est produit le 14 juin, lorsque des attaquants ont exploité le protocole Aztec Connect, un pont axé sur la confidentialité désormais obsolète qui avait été officiellement désactivé après sa phase de retrait.
Le contrat était déjà considéré comme inactif, mais il contenait encore des fonds résiduels.
L'attaquant a réussi à vider environ 2,1 millions de dollars en actifs numériques, notamment environ 909 ETH, 270 000 DAI et 167 wstETH, ainsi que d'autres holdings plus petits.
L'exploitation a été liée à des failles dans la manière dont la vérification des preuves rollup était gérée, permettant d'accepter des preuves invalides ou manipulées comme légitimes.
Ce qui a rendu la situation plus critique, c'était la nature même du contrat.
Aztec Connect a été décrit comme immuable, ce qui signifie qu'il ne pouvait pas être mis en pause ni corrigé une fois déployé.
Même si les utilisateurs avaient été encouragés à retirer leurs fonds avant la fermeture, le solde restant est devenu une cible facile d'exploitation des années plus tard.
Les équipes de sécurité ayant examiné l'incident ont pointé une défaillance dans la relation entre la validation de la preuve à divulgation nulle de connaissance et la logique de règlement sur chaîne.
En termes simples, le système a accepté des preuves qui ne correspondaient pas correctement à l'état sous-jacent de la transaction, permettant à l'attaquant de déclencher des retraits non autorisés.
Deuxième attaque : Pont Rollup privé exploité pour 2,15 million de dollars
Trois jours seulement plus tard, un deuxième exploit a touché un autre système hérité connu sous le nom de Private Rollup Bridge.
Ce contrat faisait également partie de l’ancienne infrastructure d’Aztec et avait été déprécié suite à la transition loin des anciennes conceptions de rollup.
Dans ce cas, les attaquants ont vidé environ 1 158 ETH, évalués à près de 2,15 millions de dollars au moment de l'incident.
La méthode utilisée était différente dans l'exécution mais similaire dans la cause technique fondamentale.
Au lieu de manipuler directement les retraits via un désaccord de preuve de base, l'attaquant a exploité un mécanisme de « sortie de secours » vulnérable intégré dans la conception du pont.
En soumettant une preuve à divulgation nulle de connaissance spécialement conçue, l'attaquant a pu déclencher la logique de sortie du contrat.
Le système a validé incorrectement la preuve et libéré les fonds sans vérification appropriée des transitions d'état sous-jacentes.
Cela a permis à l'attaquant d'extraire la liquidité en une seule séquence coordonnée.
Comme l'exploitation précédente, cette violation n'a pas impliqué de compromission de clé privée ni de vulnérabilités de réentrée.
Au lieu de cela, il a mis en lumière des problèmes plus profonds dans la structure de la validation des preuves dans les systèmes rollup hérités, particulièrement lorsque les contrats restent activement en ligne après avoir été officiellement mis à la retraite.
Réponse d'Aztec et des sociétés de sécurité
Suite à ces deux incidents, Aztec Labs et la Fondation Aztec ont confirmé que les systèmes affectés étaient des produits obsolètes sans lien avec le réseau Aztec actuel ou l'écosystème du jeton AZTEC.
La Fondation Aztec a été informée d'une potential exploitation ciblant un produit obsolète survenu le 17 juin 2026. Il n'existe aucun lien entre ce produit et les contrats intelligents liés au réseau actuel ou au jeton AZTEC ERC20.
Le produit a été abandonné il y a 4 ans… https://t.co/kANaIuw8HF
— Aztec Foundation (@aztecFND) June 18, 2026
Ils ont souligné qu'aucun contrat ne pouvait être mis à jour, mis en pause ou contrôlé, car les deux avaient été conçus pour être immutables au moment du déploiement.
La société de sécurité CertiK Alert a également signalé l'exploitation du Private Rollup Bridge, en identifiant l'adresse de l'attaquant et en confirmant le mouvement des fonds liés à une transaction Ethereum spécifique.
Leur analyse était en accord avec d'autres avis, suggérant que la vulnérabilité provenait de défauts dans la vérification de la preuve à divulgation nulle de connaissance plutôt que de bogues classiques de contrat intelligent.
Les représentants d'Aztec ont également précisé que les incidents du Private Rollup Bridge et d'Aztec Connect étaient des événements distincts, bien qu'ils aient eu lieu dans un court laps de temps et partagé des faiblesses techniques similaires.
Le post Aztec Network perd plus de 4 millions de dollars en trois jours à la suite de deux piratages consécutifs est apparu en premier sur CoinJournal.