Маленька помилка валідації, витік на 2,19 мільйона доларів – що пішло не так у Aztec Network?

Контракт маршрутизатора Aztec Network опинився в новинах після того, як його об’єктом стала підозріла транзакція, виявлена у блокчейні Ethereum [ETH]. Це призвело до втрати активів на суму приблизно 2,19 мільйона доларів.

Насправді, адреса гаманця “0x0f18….edd17” використовувала кошти з контракту маршрутизатора протоколу для здійснення транзакції.

Атака була підозрілоюЗгідно з CertiK, атака була «підозрілою», оскільки зловмисник міг скористатися вразливістю у смарт-контракті, отримати несанкціонований доступ до коштів протоколу або змінити логіку контракту для виведення активів.

Можлива помилка валідації смарт-контракту

Однак деякі ознаки вказували на те, що обробка доказових даних протоколу була неправильною у процесі валідації смарт-контракту. Проблема, зокрема, полягала у функції computeRootHashes(), яка відповідала за підтвердження легітимності поданих _proofData, але перевіряла лише першу частину цього даних.

Проте, середня частина того ж _proofData містила дані, які пізніше використовувалися у функції processDepositsAndWithdrawals() для здійснення переказів токенів.

Отже, зловмисник міг створити шкідливий доказ, у якому неперевірена середня частина містила змінені інструкції щодо депозитів або зняття коштів, тоді як перевірена частина залишалася валідною і проходила перевірки безпеки протоколу.

Зі свого боку, контракт у результаті виконував несанкціоновані перекази токенів через те, що ці інструкції не були належним чином автентифіковані перед обробкою. Простими словами, існувала розбіжність між тим, що було перевірено, і тим, що фактично виконано.

Більше таких інцидентів

Час тут цікавий, оскільки Raydium також виявила помилку у своєму старому AMM V3, через яку було викрадено криптовалют на суму 1,34 мільйона доларів із п’яти пулів.

Тим часом, ще одна атака захоплення управління дозволила зловмиснику викрасти близько 1,5 мільйона доларів у Ethereum із пулу ліквідності Balancer.

Недавно також був знайдений новий експлойт, спрямований на Ethereum’s Alephium TokenBridge. У цьому експлойті за сім хвилин було виведено 815 000 доларів США за допомогою трьох із чотирьох зламаних ключів охоронців, які підписували підроблені VAAs (Підтвердження дій).

Аналогічно, згідно з незалежним розслідуванням Quantstamp, Humanity Protocol пов’язала цільову фішингову атаку проти одного з її директорів із здобуттям зловмисником адміністративних облікових даних, оновленнями контрактів, переказами Ethereum-токенів і створенням нових токенів H на BNB Chain.

Загалом, за даними DeFiLlama, загальна сума зламаних коштів (USD) вже досягла 81,73 мільйона доларів за 30 днів. Лише у 2026 році було втрачено 634,85 мільйона доларів, і квітень став місяцем із найвищим обсягом витоку.

Джерело: DeFiLlama

Остаточний підсумок

• Вразливість, схоже, була спричинена неповною перевіркою _proofData.
• Цей випадок є найновішим у низці збоїв у безпеці DeFi.