Aztec, daha önce kullanımdan kaldırılmış eski bir ödeme ürünü üzerinde tekrar bir güvenlik olayı yaşadı. Saldırganlar, sahte rollup kanıtları yoluyla protokol rezervlerinden 1.158 ETH, 150.000 DAI ve 0,46 renBTC transfer etti; tahmini kayıp 2,15 milyon dolar olarak hesaplandı.
Etkilenen sözleşmeler 2022 yılında kullanımdan kaldırıldı.
Aztec Labs, bu sızıntıdan etkilenen akıllı sözleşme için 2022 yılında kullanımdan kaldırılan bir ödeme ürünü olduğunu doğruladı. Takım, sözleşmenin değiştirilemez olduğunu, durdurulamayacağını ve düzenlenemeyeceğini belirtti; ayrıca, şu anda sözleşmenin çalışmasını etkilemek için gerekli yönetim anahtarlarına sahip değiller.
Bu, ilgili ürünün uzun süredir faaliyet dışı olmasına rağmen, zincir üzerindeki sözleşmelerin hâlâ varlığını sürdürdüğü ve bu sözleşmelerdeki varlıkların hâlâ saldırı hedefi olabileceğini anlamına gelir. Bu olay, eski altyapının bakımının durdurulmasından sonra bile uzun vadeli riskler bırakabileceğini tekrar ortaya koymuştur.
Birkaç gün önce benzer bir olay gerçekleşmişti
Birkaç gün önce, Aztec'in diğer gizlilik rollup ürünü Aztec Connect de saldırıya uğradı ve yaklaşık 2,1 milyon dolar kayıp yaşandı. Bu ürün, Mart 2023'te resmen kapatılmıştı. Olayın ardından Aztec, yatırımları durdurmuş ve geliştirme odaklarını yeni nesil Aztec Network'e yönlendirmiştir.
Ancak ürün kaldırılmasına rağmen, eski sözleşmelerde hala bazı geçmiş kullanıcı fonları kalmıştır ve bu da saldırganlar için kullanılabilecek bir boşluk bırakmıştır. Ardışık iki olay, devre dışı bırakılmış protokollerde kalan varlıkların güvenliği konusunda piyasayı yeniden odaklamıştır.
Güvenlik kurumu eski sözleşmelerin riskini uyariyor
Birden fazla güvenlik araştırma kurumu, bir sözleşmenin devre dışı bırakıldıktan sonra hala blok zincirinde kalması ve içinde varlıklar bulunması durumunda, hakerlerin uzun vadeli hedefi olabileceğini belirtiyor. Risk analiz platformu Blockful, son zamanlarda projenin bakımı bırakıldıktan sonra eski sözleşmelerin genellikle saldırganlar için “açık hedef” haline geldiğini uyarıdı.
SlowMist, olay sonrası analizde, kalıntı varlıkların uzun süre bırakıldığında güvenlik açığı sürekli olarak arttığını belirtti. Önerisi, projenin eski ürünlerini kapatırken, varlıkları yeni altyapıya hızlıca aktarmak için net bir varlık taşıma planı hazırlamasıdır.
- Bu olayda çalınan varlıklar arasında 1.158 ETH, 150.000 DAI ve 0,46 renBTC bulunmaktadır.
- Önceki olay, Aztec Connect ile ilgiliydi ve yaklaşık 2,1 milyon dolarlık kayıp yaşandı.
- İki olay da devre dışı bırakılmış ancak hâlâ varlık barındıran eski sözleşmelerle ilgilidir.