Aztec Labs untersucht einen Exploit im geschätzten Wert von 2,165 Millionen US-Dollar bei einem veralteten Aztec-Zahlungsprodukt. Der On-Chain-Analyst PeckShield beziffert die erbeuteten Vermögenswerte auf rund 1.158 ETH, 150.000 DAI und 0,47 renBTC. Der Angreifer finanzierte die Operation zunächst mit 0,134 ETH, die von HitBTC stammten, und nutzte anschließend einen unveränderlichen, vier Jahre alten Stage-2-Rollup, um an die Erlöse zu gelangen.
Die Aztec Foundation betonte auf X, dass das betroffene Produkt von keinem Smart Contract des aktuellen Netzwerks und auch nicht vom AZTEC-ERC20-Token getrennt sei — der Vorfall fällt jedoch auf den vierten Tag nach einem Sonntag-Exploit des unveränderlichen Aztec-Connect-Vertrags, bei dem über eine von Forschern als ähnlich beschriebene Validierungsschwäche rund 2,1 Millionen US-Dollar abgezogen wurden.
Warum es wichtig ist
Forscher von BlockSec beim Phalcon-Team erklärten, der jüngste Angriff sei mit dem Vorfall vom 14. Juni verwandt, aber nicht identisch: ein Public-Input-Binding-Problem im Circuit, das es dem Angreifer ermöglichte, die On-Chain-Verifizierung zu passieren und gleichzeitig Vermögenswerte abzuziehen — mit einem separaten Einstiegspunkt und einem anderen betroffenen Pool. Beide Bugs gehen auf dieselbe Familie von ZK-Circuit-Verifizierungsschwächen im Legacy-Stack zurück — und beide liegen in Code, den Aztec selbst als veraltet markiert hat, sodass es keinen Patch-Pfad ohne eine Neubereitstellung gibt. Das Framing der Foundation zur Trennung der Belange (aktuelles Netzwerk vs. Legacy-Produkt) schützt zwar die Erzählung rund um den AZTEC-Token, trägt jedoch nichts zur übergeordneten Lehre bei: Ein unveränderlicher Vertrag bleibt per Definition so lange ausnutzbar, wie die ursprüngliche Verifizierungslogik eine Lücke aufweist.
Auswirkungen auf den Markt
Der Vorfall reiht sich in eine der rauesten Phasen ein, die DeFi seit einiger Zeit durchläuft — mehr als 30 Protokolle wurden im laufenden Zyklus gehackt, mit einem Gesamtvolumen von über 600 Millionen US-Dollar, angeführt vom Kelp-DAO-Exploit über 292 Millionen US-Dollar. Die Aztec-Connect-Linie hat nun innerhalb einer einzigen Woche nahezu 4,3 Millionen US-Dollar über zwei Vorfälle verloren, und Aztec Labs hat bislang keinen Zeitplan für Behebungsmaßnahmen genannt und lediglich angekündigt, dass weitere Updates folgen werden.
Häufig gestellte Fragen
-
Welches Aztec-Produkt wurde ausgenutzt?
Ein vier Jahre alter, unveränderlicher Stage-2-Rollup, der als veraltetes Zahlungsprodukt diente. Die Aztec Foundation erklärte, es bestehe keine Verbindung zu aktuellen Netzwerk-Verträgen oder dem AZTEC-ERC20-Token.
-
Wie viel wurde gestohlen und in welchen Vermögenswerten?
PeckShield schätzte insgesamt rund 2,165 Millionen US-Dollar: etwa 1.158 ETH, 150.000 DAI und 0,47 renBTC. Der Angreifer finanzierte die Operation mit 0,134 ETH, die von HitBTC weitergeleitet wurden.
-
Steht dieser Exploit im Zusammenhang mit dem Aztec-Connect-Hack am Sonntag?
Das Phalcon-Team von BlockSec bejahte dies auf der Familien-Ebene. Beide gehen auf Public-Input-Binding-Probleme in ZK-Circuits zurück, die es dem Angreifer ermöglichten, die On-Chain-Verifizierung zu passieren und gleichzeitig Vermögenswerte abzuziehen — Einstiegspunkte und betroffene Pools unterscheiden sich jedoch.
-
Sind der AZTEC-Token oder das aktuelle Netzwerk gefährdet?
Die Aztec Foundation verneinte dies — das betroffene Produkt ist veraltet und von den laufenden Netzwerk-Verträgen sowie dem AZTEC-Token getrennt. Legacy-Inhaber bleiben jedoch exponiert, solange die unveränderlichen Verträge bestehen.
-
Kann Aztec Labs den ausgenutzten Vertrag patchen?
Nein. Der Vertrag ist unveränderlich, es gibt also keinen Upgrade-Pfad. Das Team hat keinen Zeitplan für Behebungsmaßnahmen angekündigt und mitgeteilt, dass weitere Updates folgen werden.
CryptoSlate
CoinDesk
WuBlockchain
Crypto Capital Venture