Aztec Connect 這個已停用的去中心化金融平台，上週日遭攻擊者利用其驗證函式的漏洞，約損失 210 萬美元。Aztec Labs 確認事件影響到該平台的智慧合約，但表示目前 Aztec Network 上的使用者與資產不受影響。此次攻擊鎖定了 Aztec 系統於 2022 年推出、並在 2023 年 3 月停用的舊版本，凸顯即使主動開發已結束，仍保留可存取價值的不可變智慧合約所持續存在的資安風險。
攻擊者利用驗證與結算不一致
加密資安公司 BlockSec 認定根因是 Aztec Connect 的合約如何驗證交易，與這些交易在以太坊上如何被結算之間存在不匹配。根據 BlockSec 的說法，Aztec Connect 合約上被驗證的交易「並未有效綁定到 ZK proof 所強制執行的交易集合」。因此，以太坊上的驗證路徑與結算邏輯「得以對交易清單做出不同的解讀」。
此弱點使攻擊者能夠下達交易，讓合約在未在以太坊上適當驗證的情況下記帳給予價值。這些入帳隨後形成了未被支撐的餘額，接著可被提領。攻擊者在 7 種不同資產上重複這個流程 7 次。
竊取 7 種資產，包含 909 ETH 與 270,000 DAI
被竊的資產包括 909 顆以太幣（Ether）、270,000 顆 Dai、167 顆包裝的 staked ETH，以及其他數種加密貨幣。Aztec Labs 表示，約有 210 萬美元已從該平台的智慧合約中被轉出。此次漏洞影響的是 Aztec Connect：它於 2022 年作為 DeFi 橋推出，並在 2023 年 3 月停止接受存款，因團隊將資源轉向下一代 Aztec Network。
不可變合約阻止管理介入
Aztec Labs 表示：「Aztec Labs 不持有任何管理員金鑰，亦不具備對系統的控制權；我們無法暫停或升級系統。」加密開發者 Param 表示，Aztec Connect 的智慧合約變成「完全不可變」，因此不再能夠被升級或暫停。由於缺乏管理控制，團隊無法在可疑活動開始後停止提領、修補驗證邏輯，或凍結已暴露的餘額。
6 月的 DeFi 被攻擊累計至少達 4400 萬美元
根據 DeFiLlama 資料顯示，本月迄今至少有 4400 萬美元已在多起漏洞利用中被竊走。6 月規模最大的事件是 Humanity Protocol 的私鑰遭竊，8 日損失 3000 萬美元。Syscoin Bridge 也在前一天遭遇假證明漏洞利用而損失 800 萬美元。團隊表示，目前的 Aztec Network 未受到 Aztec Connect 這次漏洞利用的影響。
FAQ
上週日是什麼造成 Aztec Connect 的漏洞利用？
攻擊者利用了 Aztec Connect 驗證函式中的缺陷：經驗證的交易並未有效綁定到 ZK proof 所強制執行的交易集合，導致以太坊上的驗證路徑與結算邏輯對交易清單做出不同的解讀。
從 Aztec Connect 竊走了多少，以及拿走了哪些資產？
約 210 萬美元從 Aztec Connect 的智慧合約被抽走，包含 909 顆 Ether、270,000 顆 Dai、167 顆包裝的 staked ETH，以及橫跨 7 種不同資產的其他數種加密貨幣。
