Kontrak Router Aztec Network baru-baru ini mengalami transaksi mencurigakan di Ethereum, menyebabkan kehilangan aset sebanyak kira-kira $2.19 juta. Rekod rantai menunjukkan operasi terkait secara langsung menggunakan dana dari kontrak protokol, dan kejadian ini kemudian menarik perhatian agensi keselamatan.
Keprihatinan menunjuk kepada pengesahan proofData
Agensi keselamatan CertiK menyatakan bahawa transaksi ini memiliki ciri-ciri yang jelas tidak biasa. Penilaian awal menunjukkan bahawa penyerang mungkin memanfaatkan kelemahan pengesahan dalam kon pintar, yang memungkinkan akses tidak sah kepada dana protokol, atau mengubah logik pelaksanaan kon untuk memindahkan aset.
Dari analisis awam, masalah mungkin berpunca daripada fungsi computeRootHashes(). Fungsi ini bertanggungjawab untuk mengesahkan sama ada _proofData yang dimasukkan adalah sah, tetapi lingkungan pemeriksaan kelihatan hanya merangkumi separuh pertama data ini.
Data tengah digunakan untuk melaksanakan pemindahan dana
Dalam pelaksanaan seterusnya, processDepositsAndWithdrawals() akan terus membaca kandungan sementara _proofData yang sama, dan berdasarkan itu mengurus pemindahan token yang berkaitan dengan deposit dan penarikan.
Ini bermakna penyerang mungkin membina data bukti jahat yang membenarkan bahagian depan lulus pengesahan, sambil memasukkan arahan penarikan atau pemindahan yang telah diubah suai ke dalam bahagian tengah yang tidak disemak sepenuhnya. Akhirnya, kandungan yang dilaksanakan oleh kontrak tidak sepadan dengan kandungan yang sebenarnya disahkan, menyebabkan pemindahan tanpa kebenaran berlaku.
Kejadian keselamatan terkini berterusan
Sebelum dan selepas kejadian ini, bidang DeFi telah mengalami beberapa insiden keselamatan berturut-turut. Raydium sebelum ini mengumumkan bahawa ralat pengkodean dalam AMM V3 versi lama menyebabkan kerugian sebanyak kira-kira $1.34 juta secara keseluruhan kepada lima kolam dana.
Serangan pengambilalihan tata pentadbiran lain menyebabkan ETH bernilai kira-kira $1.5 juta dicuri daripada kolam likuiditi Balancer. TokenBridge Alephium juga baru-baru ini dieksploitasi, di mana penyerang menggunakan kunci guardian yang telah disusupi untuk memalsukan VAA dan memindahkan kira-kira $815,000 dalam masa 7 minit.
Maklumat tambahan: Data DeFiLlama menunjukkan bahawa jumlah yang dicuri secara langsung dalam 30 hari terakhir telah mencapai US$81.73 juta; jumlah kerugian sejak awal 2026 ialah sekitar US$634.85 juta, dengan April menjadi salah satu bulan dengan kehilangan dana tertinggi sepanjang tahun ini.