Древняя комплекс инфраструктурных объектов Aztec 2-ой раз за некоторое количество дней оказалась под атакой. Новый происшествие коснулся уже не работающий продукт, а устаревший договор, продолжавш?? хранить активы в блокчейне.
По расчетам SlowMist, злодей вывел около $2,15 млн. В составе похищенных средств были 1 158 ETH, 150 000 DAI и маленькая сумма renBTC. Основной вывод специалистов неприятен для всей промышленности: закрытый продукт не перестает быть риском, если в его договорах остаются средства.
Взломщик околпачил проверку роллапа
Подготовительный разбор SlowMist показывает на ошибку в механизме проверки. Атакующий употреблял неверное подтверждение роллапа, после этого договор принял его как корректное и выпустил активы из запасов.
Для обыденного пользователя такая атака смотрится практически неприметно. В сети проходит операция, договор делает заложенную логику, а средства уходят на адрес злодея.
Трудность в том, что древняя система все еще работала как код, однако продукт издавна закончил быть частью животрепещущей инфраструктурных объектов. Конкретно в таковых местах ошибки могут жить годами и ожидать того, кто отыщет метод их применять.
Aztec не мог приостановить вывод средств
Aztec Labs удостоверил взлом и сказал, что средства ушли из неизменяемого смарт-договора старенького платежного продукта. Его вывели из использования еще в 2022 году.
Команда раздельно отметила, что у нее не было административных ключей и функции остановки операций. Это означает, что создатели не могли стремительно поставить договор на паузу либо вмешаться после начала атаки.
Данная положение дел указывает оборотную сторону неизменяемости. Смарт-договор нельзя тихо поменять, и это защищает пользователей от произвола команды. Однако если в коде остается незащищенность, а активы не выведены, приостановить дилемму бывает нереально.
Это не этот же взлом, что и в воскресенье
Новый происшествие различается от нападения на Aztec Connect, которая произошла за несколько суток до этого. Тогда из другого старенького договора также вывели около $2,1 млн.
Aztec Connect был приватным роллапом, который закрыли в марте 2023 года. После чего команда приостановила вклады и переключилась на развитие Aztec Network, которая направлялась версии собственной инфраструктурных объектов.
Однако закрытие продукта не означало полного пропажи риска. В старых договорах оставались пользовательские активы, и конкретно это сделало их симпатичной целью.
Заброшенная комплекс инфраструктурных объектов становится заслугой для взломщиков
Случай Aztec не единичный. До этого в июне схожая история произошла с Raydium, где из устаревших пулов вывели около $1,3 млн.
Во всех этих вариантах трудность похожа. Проект развивает новые версии, убирает старые интерфейсы и перестает оказывать активную поддержку прежний код. Однако договор остается в сети, а вместе с ним остаются активы и вероятные ошибки.
Blockful обрисовала подобные договоры как неизменные «заслуги» для взломщиков. Если команда больше не смотрит за старым продуктом, а средства снутри есть еще, у атакующих возникает понятная цель.
Почему закрыть продукт недостаточно
В классическом ПО старенькую систему можно отключить. В блокчейне все труднее. Смарт-договор не прекращает существовать, если он развернут в сети, а пользователи либо запасы все еще соединены с ним.
Потому окончание продукта должно включать не только объявление и остановку новых депозитов. Необходимы миграция активов, предупреждения для пользователей, мониторинг остатков и понятный срок закрытия старых путей вывода.
Если этого не сделать, старый договор преобразуется в технический долг. Разница только в том, что данный долг может хранить настоящие активы на миллионы долларов.
Риск в особенности высок для приватных систем
Aztec работал с приватными переводами и роллап-инфраструктурой. Подобные системы труднее обыденных DeFi-договоров, так как употребляют подтверждения, особые проверки и поболее трудную логику учета.
Чем труднее механизм, тем выше шанс, что в нем остается нетривиальная ошибка. В особенности если продукт уже не развивается, а команда сфокусировалась на новой версии.
Это не означает, что приватные протоколы по определению опасны. Однако для них в особенности умеют большое значение длительный аудит, план закрытия старых систем и контроль активов, которые остаются в устаревших договорах.
Пользователи тоже несут часть риска
Почти все держатели средств позже выводят активы после закрытия продукта. Время от времени сумма кажется маленький, время от времени пользователь просто запамятывает о старенькой позиции, а время от времени не осознает, что договор больше не поддерживается.
Для взломщика это не имеет значения. Если в старенькой системе накопился общий баланс, она становится целью. Даже разрозненные остатки пользователей могут сложиться в крупную сумму.
Потому при закрытии моста, пула либо роллапа лучше не оставлять средства «на позже». Если команда дает миграцию либо вывод, откладывать это рискованно.
SlowMist рекомендует выводить активы из старых договоров
После нападений SlowMist посоветовала протоколам планомерно переносить средства из устаревших договоров. Это в особенности принципиально, если код нельзя обновить либо приостановить.
Этот подход должен стать частью обычной операционной безопасности. Проектам необходимо мыслить не только о запуске новых товаров, да и о неопасном окончании старых.
Для промышленности это больной, но нужный урок. Старые договоры не исчезают из блокчейна сами. Если в них остаются активы, они продолжают быть частью поверхности атаки.
Что далее?
Aztec необходимо разъяснить, какие устаревшие договоры еще могут содержать активы и какие меры команда предложит пользователям. После 2-ух нападений за 7 дней рынок будет ожидать не только технического разбора, да и плана по понижению риска в старенькой комплексу инфраструктурных объектов.
Для остальных протоколов это предупреждение. Если проект закрывает продукт, но не выводит активы из договоров, он оставляет взломщикам открытую возможность для поиска просчетов.
Основной вывод обычный. Взлом Aztec указывает, что устаревший договор быть может опаснее нового продукта. Его меньше инспектируют, ужаснее мониторят и нередко считают закрытой историей. Однако пока в нем лежат средства, это не архив, а активная цель для атаки.