Attacco alla Piattaforma Aztec Connect
Secondo Aztec Labs e la società di sicurezza blockchain BlockSec, un attaccante ha sfruttato una vulnerabilità nel processo di verifica delle transazioni della piattaforma, consentendogli di creare e prelevare saldi non coperti. Durante l’attacco, l’attaccante ha rubato 909 ETH, 270.000 DAI, 167 ETH staked avvolti e diversi altri asset attraverso sette transazioni.
Dettagli dell’Exploit
Domenica, una piattaforma di finanza decentralizzata (DeFi) deprecata, nota come Aztec Connect, ha subito un exploit crittografico che ha portato al furto di circa 2,1 milioni di dollari in asset digitali. Aztec Labs ha confermato di essere al lavoro per indagare sull’incidente, dopo aver scoperto che i fondi erano stati drenati dal contratto intelligente di Aztec Connect.
L’azienda ha specificato che l’exploit ha colpito esclusivamente la vecchia piattaforma Aztec Connect e non ha avuto impatti sugli utenti, sui fondi o sugli asset della nuova Aztec Network.
Secondo il team, circa 2,1 milioni di dollari sono stati trasferiti fuori dal contratto durante l’attacco. I ricercatori di sicurezza blockchain hanno rapidamente iniziato ad analizzare l’exploit. BlockSec ha riportato che l’attaccante ha approfittato di una vulnerabilità legata al processo di verifica delle transazioni della piattaforma.
Meccanismo dell’Attacco
In particolare, c’era una discrepanza tra il modo in cui le transazioni venivano verificate tramite prove a conoscenza zero e come venivano infine interpretate e regolate su Ethereum. Poiché le transazioni verificate non erano correttamente collegate al set di transazioni imposto dal sistema di prova a conoscenza zero, l’attaccante è riuscito a manipolare il percorso di verifica.
Questo ha permesso al contratto intelligente di riconoscere e accreditare valore che non era stato effettivamente convalidato su Ethereum. Di conseguenza, l’attaccante ha creato saldi non coperti che potevano essere successivamente prelevati come asset legittimi. L’exploit è stato ripetuto sette volte per diversi asset digitali.
Impatto e Tendenze di Sicurezza
Secondo i ricercatori di sicurezza, l’attaccante ha rubato 909 Ethereum (ETH), 270.000 Dai (DAI), 167 Ether avvolti staked e altre criptovalute. Il valore combinato di questi asset ammontava a circa 2,1 milioni di dollari. L’incidente si inserisce in una preoccupante tendenza di violazioni di sicurezza legate alle criptovalute.
I dati di DeFiLlama mostrano che oltre 44 milioni di dollari sono stati rubati attraverso almeno una dozzina di exploit separati finora in questo mese. L’incidente più significativo ha coinvolto Humanity Protocol, che ha perso circa 30 milioni di dollari a causa di una compromissione della chiave privata. Un altro attacco importante ha preso di mira il Syscoin Bridge, dove gli attaccanti avrebbero sfruttato un meccanismo di prova falso per rubare circa 8 milioni di dollari.
Storia di Aztec Connect
Aztec Connect è stato lanciato originariamente nel 2022 come un ponte DeFi incentrato sulla privacy, costruito sulla tecnologia di rollup a conoscenza zero di Aztec. Tuttavia, la piattaforma è stata deprecata a marzo 2023, dopo che il team di sviluppo ha spostato la sua attenzione verso la rete Aztec di nuova generazione. I depositi sono stati interrotti e il supporto per la vecchia piattaforma è stato effettivamente cessato.
Aztec Labs ha chiarito di non avere più il controllo amministrativo sui contratti di Aztec Connect. Poiché i contratti intelligenti sono stati progettati per essere completamente immutabili, il team non può mettere in pausa, aggiornare o modificare in risposta a incidenti di sicurezza.
