Aztec Connect đã bị khai thác lỗ hổng xác thực, khiến khoảng 2,1 triệu USD tài sản trong hợp đồng bị rút ra dù giao thức này đã ngừng hoạt động từ năm 2023.
Sự việc cho thấy rủi ro của các hợp đồng cũ vẫn có thể kéo dài sau khi một dự án đã deprecated. Aztec Labs nói không còn quyền can thiệp vì đã từ bỏ admin keys, nên lỗ hổng hiện tại không thể được vá theo cách thông thường.
- Khoảng 2,1 triệu USD đã bị rút khỏi Aztec Connect.
- Lỗ hổng nằm ở bước xác thực proof và xử lý thanh toán L1.
- Aztec Labs nói không còn admin keys để tạm dừng hay nâng cấp hợp đồng.
Khoản thiệt hại đến từ hợp đồng Aztec Connect cũ
Aztec Connect đã mất khoảng 2,1 triệu USD sau khi một kẻ tấn công khai thác lỗi xác thực trong cầu riêng tư này. Tài sản bị rút gồm khoảng 909 ETH, 270.000 DAI và 167 wstETH.
Trước đó, hợp đồng này vẫn còn khoảng 2,15 triệu USD TVL, nên gần như toàn bộ giá trị còn lại đã bị lấy đi. Vụ việc diễn ra dù Aztec Connect đã bị ngừng từ năm 2023 và sequencer của Aztec Labs cũng đã dừng chạy từ tháng 3/2024.
Lỗi xác thực nằm ở đâu?
Lỗi phát sinh từ việc kiểm tra proof không đầy đủ, đặc biệt ở ranh giới giữa tập giao dịch đã được xác minh và quá trình thanh toán trên L1. Một phần của hàm chỉ kiểm tra đoạn đầu của proof, trong khi các lệnh chuyển token nằm ở phần khác lại không được xác minh.
Cách kiểm tra này tạo ra khoảng trống để kẻ tấn công can thiệp vào quá trình rút tiền. BlockSec Phalcon đã gắn cờ giao dịch đáng ngờ, còn CertiK mô tả đây là tình huống xác thực dữ liệu proof chưa hoàn chỉnh.
Aztec Labs và Aztec Foundation nói gì?
Aztec Labs cho biết đang điều tra nhưng không có cơ chế để can thiệp vào hệ thống. Nhóm này nói Aztec Connect đã bị deprecated từ 3 năm trước, không còn nắm admin keys và cũng không thể tự mình tạm dừng hay nâng cấp hợp đồng.
Aztec Foundation cũng khẳng định sự cố này không liên quan đến các smart contract gắn với token AZTEC ERC-20 hay mạng Aztec hiện tại. Theo mô tả của họ, Aztec hiện tập trung vào các smart contract riêng tư.
Vì sao sự cố này vẫn đáng chú ý?
Sự cố của Aztec Connect nhấn mạnh một rủi ro quen thuộc trong crypto: tài sản để lại trong các hợp đồng legacy có thể trở thành mục tiêu nếu dự án đã rút quyền kiểm soát. Khi admin keys bị từ bỏ, việc sửa lỗi sau này gần như không thể thực hiện.
Với người dùng, bài học chính là không nên xem các hợp đồng đã ngừng hoạt động là vô hại. Dữ liệu hiện có cũng cho thấy các vụ exploit trong tháng 6 đã tiếp tục gia tăng, với tổng thiệt hại khoảng 43,93 triệu USD tính đến giữa tháng.
Tổng kết
Aztec Connect là một ví dụ rõ ràng về rủi ro còn tồn tại ở hợp đồng cũ: chỉ một lỗi xác thực cũng đủ khiến hàng triệu USD bị rút ra khi không còn cơ chế vá lỗi hoặc kiểm soát quản trị.
