Aztec lại gặp sự cố bảo mật, ảnh hưởng đến một sản phẩm thanh toán cũ đã bị ngừng sử dụng. Kẻ tấn công đã chuyển đi 1.158 ETH, 150.000 DAI và 0,46 renBTC từ quỹ dự trữ của giao thức thông qua việc giả mạo bằng chứng rollup, ước tính tổn thất khoảng 2,15 triệu USD theo báo cáo.
Hợp đồng bị ảnh hưởng đã bị ngừng hoạt động vào năm 2022
Aztec Labs xác nhận rằng hợp đồng thông minh bị khai thác thuộc về sản phẩm thanh toán đã bị ngừng sử dụng từ năm 2022. Nhóm cho biết hợp đồng này là hợp đồng bất biến, không thể tạm dừng hoặc sửa đổi, và hiện tại nhóm không còn giữ các khóa quản lý có thể can thiệp vào hoạt động của nó.
Điều này có nghĩa là, dù các sản phẩm liên quan đã ngừng hoạt động từ lâu, hợp đồng trên chuỗi vẫn tiếp tục tồn tại và tài sản trong đó vẫn có thể trở thành mục tiêu tấn công. Sự kiện này cũng một lần nữa phơi bày rằng cơ sở hạ tầng phiên bản cũ sau khi ngừng bảo trì vẫn có thể để lại rủi ro lâu dài.
Một sự kiện tương tự đã xảy ra vài ngày trước
Chỉ vài ngày trước, sản phẩm rollup bảo mật khác của Aztec, Aztec Connect, cũng đã bị tấn công, gây thiệt hại khoảng 2,1 triệu USD. Sản phẩm này đã chính thức ngừng hoạt động từ tháng 3 năm 2023. Sau sự cố, Aztec đã tạm dừng các khoản gửi và chuyển trọng tâm phát triển sang Aztec Network thế hệ mới.
Tuy nhiên, dù sản phẩm đã ngừng hoạt động, một phần vốn lịch sử của người dùng vẫn còn được giữ lại trong các hợp đồng cũ, tạo ra khe hở để kẻ tấn công khai thác. Hai sự kiện liên tiếp đã khiến thị trường tái quan tâm đến vấn đề bảo mật của các tài sản còn sót lại trong các giao thức đã ngừng hoạt động.
Cơ quan an ninh cảnh báo rủi ro từ hợp đồng cũ
Nhiều tổ chức nghiên cứu bảo mật chỉ ra rằng, các hợp đồng đã ngừng hoạt động nhưng vẫn còn tồn tại trên chuỗi và chứa tài sản bên trong có thể trở thành mục tiêu được hacker theo dõi lâu dài. Nền tảng phân tích rủi ro Blockful gần đây đã cảnh báo rằng, sau khi dự án ngừng bảo trì, các hợp đồng cũ thường trở thành “mục tiêu công khai” dành cho kẻ tấn công.
SlowMist cũng nhấn mạnh trong phân tích sau sự cố rằng, các tài sản còn sót lại nếu để lâu trong hợp đồng đã bị bỏ quên sẽ liên tục làm gia tăng rủi ro bảo mật. Họ khuyến nghị rằng, khi dự án ngừng sản phẩm cũ, cần đồng thời xây dựng kế hoạch di chuyển tài sản rõ ràng để chuyển tiền nhanh chóng sang cơ sở hạ tầng mới.
- Tài sản bị đánh cắp trong đợt này bao gồm 1.158 ETH, 150.000 DAI và 0,46 renBTC
- Sự kiện trước đây liên quan đến Aztec Connect, gây tổn thất khoảng 2,1 triệu USD
- Cả hai sự kiện đều liên quan đến các hợp đồng cũ đã bị vô hiệu hóa nhưng vẫn còn tài sản.