Aztec victime d'une deuxième faille de sécurité, quelques jours après qu'un exploit a permis à des pirates de dérober 2,19 millions de dollars

La deuxième violation de l'architecture héritée d'Aztec a lieu quelques jours seulement après la première, suscitant encore plus d'inquiétudes concernant la sécurité de cette infrastructure de contrats intelligents héritée. Le pont vers le service de cumul privé du protocole Aztec a été exploité jeudi pour 1 158 ETH, 150 000 DAI et 0,46 RENBTC d'une valeur d'environ 2,15 millions de dollars (environ Rs. 19,82 crore), rapporte Cos, co-fondateur de la société de cybersécurité SlowMist. Selon lui, les premières recherches suggèrent que le piratage s'est produit en raison de l'exploitation de la fausse preuve de cumul.

Des chercheurs établissent un lien entre l'attaque et d'anciens contrats contenant des actifs dormants
Aztec Labs a confirmé l'attaque et a précisé que 2 millions de dollars avaient été dérobés via un contrat intelligent immuable associé à un service de paiement aujourd'hui obsolète, lancé en 2022 ; Aztec Labs ne détenait aucune clé d'administration pour ce contrat. L'entreprise a également indiqué qu'il n'existait aucun lien entre ce piratage et les 2,1 millions de dollars détournés dimanche du contrat intelligent Aztec Connect. Aztec Connect est une solution de type « rollup » axée sur la confidentialité, devenue obsolète en mars 2023 après qu'Aztec a cessé d'accepter des dépôts pour se concentrer sur sa plateforme de nouvelle génération, Aztec Network.

Des chercheurs lient une attaque à d'anciens contrats contenant des actifs dormants
Bien qu'Aztec Connect ait été précédemment abandonné, l'attaquant a réussi à dérober plus de 2,1 millions de dollars (environ 19,82 crores de roupies) en exploitant une faille, le contrat immuable détenant encore des actifs d'utilisateurs, selon SlowMist. SlowMist a conseillé aux protocoles conservant des contrats obsolètes contenant de tels actifs d'organiser leur migration afin d'éliminer les risques de cybersécurité.

Ces deux attaques, ainsi que le vol de cryptomonnaies d'une valeur de 1,3 million de dollars (environ 12,27 crores de roupies) survenu sur Raydium début juin, ont suscité des inquiétudes concernant les contrats intelligents obsolètes, ces trois incidents étant liés à des problèmes d'infrastructures délaissées. « Les anciens contrats constituent des cibles potentielles — de véritables "bug bounties" — pour tout pirate informatique. Dès lors que les protocoles se déchargent de leur maintenance, ils peuvent devenir encore plus attrayants », a indiqué la plateforme d'analyse des risques Blockful dans une publication sur X.

Un autre incident a eu lieu en mai, lorsque Echo Protocol — un protocole de finance décentralisée (DeFi) déployé sur la blockchain Monad — a été piraté après qu'un attaquant a réussi à émettre environ 1 000 jetons eBTC non autorisés sur le protocole. La plateforme d'analyse de blockchain Lookonchain et la société de sécurité PeckShield ont constaté que le pirate avait émis ces eBTC, d'une valeur d'environ 76,7 millions de dollars (soit près de 7,24 milliards de roupies). L'attaquant a tenté de blanchir une partie de ce butin en déposant 45 eBTC, d'une valeur d'environ 3,45 millions de dollars (soit près de 325,6 millions de roupies), sur Curvance, un protocole DeFi de prêt et de gestion de liquidités.