Le contrat Router d'Aztec Network a récemment subi des transactions suspectes sur Ethereum, entraînant la perte d'environ 2,19 millions de dollars en actifs. Les enregistrements sur chaîne indiquent que les opérations concernées ont directement utilisé les fonds du contrat du protocole, ce qui a attiré l'attention des organismes de sécurité.
Les points suspects pointent vers la vérification de proofData
L'agence de sécurité CertiK a indiqué que cette transaction présentait des caractéristiques anormales manifestes. Selon une évaluation initiale, l'attaquant aurait pu exploiter une faille de validation dans le contrat intelligent pour obtenir un accès non autorisé aux fonds du protocole ou modifier la logique d'exécution du contrat afin de transférer les actifs.
D'après l'analyse publique, le problème pourrait provenir de la fonction computeRootHashes(). Cette fonction est chargée de vérifier la validité des données _proofData fournies, mais la portée de la vérification semble ne couvrir que la première moitié de ces données.
Les données intermédiaires sont utilisées pour effectuer le virement.
Dans la suite de l'exécution, processDepositsAndWithdrawals() continuera à lire le contenu intermédiaire de _proofData et utilisera ces données pour traiter les transferts de jetons liés aux dépôts et retraits.
Cela signifie qu'un attaquant pourrait construire des données de preuve malveillantes permettant à la partie avant de passer la vérification, tout en insérant des instructions de retrait ou de transfert modifiées dans la partie intermédiaire non entièrement vérifiée. En fin de compte, le contenu exécuté par le contrat ne correspond pas au contenu réellement vérifié, entraînant un transfert non autorisé.
Des incidents de sécurité se sont récemment succédé
Avant et après cet événement, le domaine DeFi a connu plusieurs incidents de sécurité consécutifs. Raydium avait précédemment révélé qu'une erreur de codage dans son ancien programme AMM V3 avait entraîné une perte totale d'environ 1,34 million de dollars répartie sur cinq pools de liquidité.
Une autre attaque de prise de contrôle de gouvernance a entraîné le vol d'environ 1,5 million de dollars américains en Ethereum depuis un pool de liquidité de Balancer. Le TokenBridge d'Alephium a également été exploité récemment ; l'attaquant a utilisé une clé guardian compromise pour falsifier des VAA et transférer environ 815 000 dollars américains en seulement 7 minutes.
Informations complémentaires : Les données de DeFiLlama indiquent que les montants volés sur chaîne au cours des 30 derniers jours s'élèvent à 81,73 millions de dollars ; depuis le début de l'année 2026, les pertes cumulées s'élèvent à environ 634,85 millions de dollars, avril étant l'un des mois les plus élevés en termes de perte de fonds cette année.