Aztec semula mengalami insiden keselamatan, yang mempengaruhi produk pembayaran lama yang telah dihentikan. Penyerang berpura-pura membuktikan rollup dan memindahkan 1.158 ETH, 150.000 DAI, dan 0.46 renBTC dari simpanan protokol, dengan anggaran kerugian sekitar $2,15 juta menurut laporan.
Kontrak yang terkesan telah dihentikan pada tahun 2022
Aztec Labs mengesahkan bahawa kon pintar yang dimanfaatkan tersebut adalah milik produk pembayaran yang telah ditinggalkan sejak 2022. Pasukan menyatakan bahawa kon ini adalah kon yang tidak boleh diubah, tidak boleh dihentikan, dan tidak boleh dimodifikasi, serta pasukan kini tidak lagi memegang kunci pengurusan yang boleh mengganggu operasinya.
Ini bermakna, walaupun produk berkaitan telah lama ditarik daripada perkhidmatan, kontrak di atas rantai masih berterusan dan aset di dalamnya masih mungkin menjadi sasaran serangan. Insiden ini sekali lagi menunjukkan bahawa infrastruktur versi lama masih boleh meninggalkan risiko jangka panjang selepas penghentian penyelenggaraan.
Beberapa hari yang lalu, peristiwa serupa baru sahaja berlaku
Beberapa hari yang lalu, produk rollup privasi lain milik Aztec, Aztec Connect, juga mengalami serangan, dengan kerugian sekitar $2.1 juta. Produk ini telah dihentikan secara rasmi pada Mac 2023. Selepas kejadian tersebut, Aztec telah menghentikan deposit dan memindahkan fokus pembangunan kepada Aztec Network generasi baru.
Namun, walaupun produk telah ditarik, sebahagian dana pengguna sejarah masih tersimpan dalam kontrak lama, memberikan ruang yang boleh dimanfaatkan oleh penyerang. Dua insiden berturut-turut ini juga membawa semula perhatian pasaran terhadap isu keselamatan aset yang tinggal dalam protokol yang telah dihentikan.
Lembaga keselamatan memperingatkan risiko kontrak lama
Beberapa institut penyelidikan keselamatan menunjukkan bahawa kontrak yang diberhentikan, apabila terus berada di rantai dengan aset masih tinggal di dalamnya, boleh menjadi sasaran jangka panjang para perompak. Platform analisis risiko Blockful baru-baru ini memperingatkan bahawa selepas projek berhenti diselenggarakan, kontrak lama sering menjadi "sasaran terbuka" kepada penyerang.
SlowMist juga menyebut dalam analisis pasca-kejadian bahawa aset yang tertinggal di dalam kontrak yang ditinggalkan akan terus memperbesar eksposur keselamatan. Cadangan mereka ialah, apabila projek menarik balik produk lama, mereka sepatutnya menyediakan pelan pemindahan aset yang jelas pada masa yang sama, dan memindahkan dana secepat mungkin ke infrastruktur baharu.
- Aset yang dicuri dalam kejadian ini termasuk 1,158 ETH, 150,000 DAI, dan 0.46 renBTC
- Peristiwa sebelumnya melibatkan Aztec Connect, dengan kerugian sekitar $2.1 juta
- Kedua-dua peristiwa berkaitan dengan kontrak lama yang telah dilumpuhkan tetapi masih mempunyai aset.