Aztec kembali mengalami insiden keamanan, yang memengaruhi produk pembayaran lama yang sudah tidak digunakan lagi. Penyerang mentransfer 1.158 ETH, 150.000 DAI, dan 0,46 renBTC dari cadangan protokol dengan memalsukan bukti rollup, dengan perkiraan kerugian sekitar $2,15 juta menurut laporan.
Kontrak yang terdampak telah dinonaktifkan pada tahun 2022
Aztec Labs memverifikasi bahwa kontrak pintar yang dimanfaatkan tersebut merupakan produk pembayaran yang telah ditinggalkan sejak 2022. Tim menyatakan bahwa kontrak ini adalah kontrak tak dapat diubah, tidak dapat dijeda maupun dimodifikasi, dan tim saat ini tidak lagi memegang kunci manajemen yang dapat mengganggu operasinya.
Ini berarti bahwa meskipun produk terkait telah lama berhenti beroperasi, kontrak di blockchain tetap ada, dan aset di dalamnya masih berpotensi menjadi sasaran serangan. Insiden ini sekali lagi menunjukkan bahwa infrastruktur versi lama tetap dapat meninggalkan risiko jangka panjang setelah berhenti dipelihara.
Beberapa hari yang lalu, peristiwa serupa baru saja terjadi
Hanya beberapa hari yang lalu, produk rollup privasi lainnya milik Aztec, Aztec Connect, juga mengalami serangan, dengan kerugian sekitar $2,1 juta. Produk ini telah dihentikan secara resmi pada Maret 2023. Setelah kejadian tersebut, Aztec menangguhkan setoran dan mengalihkan fokus pengembangan ke Aztec Network generasi baru.
Namun, meskipun produk telah ditarik, sejumlah dana pengguna historis masih tersisa dalam kontrak lama, menciptakan celah yang dapat dimanfaatkan oleh penyerang. Dua insiden berturut-turut ini juga membuat pasar kembali memperhatikan keamanan aset yang tersisa dalam protokol yang telah dinonaktifkan.
Lembaga keamanan memperingatkan risiko kontrak lama
Beberapa lembaga penelitian keamanan menunjukkan bahwa kontrak yang dinonaktifkan tetap berada di rantai dan masih menyimpan aset di dalamnya dapat menjadi sasaran jangka panjang para peretas. Platform analisis risiko Blockful baru-baru ini memperingatkan bahwa setelah proyek berhenti dipelihara, kontrak lama sering kali menjadi "sasaran terbuka" bagi penyerang.
SlowMist juga menyebutkan dalam analisis pasca-insiden bahwa aset yang ditinggalkan jika tetap berada dalam kontrak yang tidak lagi digunakan akan terus memperbesar eksposur keamanan. Sarannya adalah, ketika proyek menghentikan produk lama, sebaiknya sekaligus menyusun rencana migrasi aset yang jelas untuk memindahkan dana secepatnya ke infrastruktur baru.
- Aset yang dicuri dalam kejadian ini mencakup 1.158 ETH, 150.000 DAI, dan 0,46 renBTC
- Insiden sebelumnya melibatkan Aztec Connect, dengan kerugian sekitar $2,1 juta
- Kedua kejadian terkait dengan kontrak lama yang telah dinonaktifkan tetapi masih menyimpan aset.