Aztec Labs está investigando un exploit estimado en 2,165 millones de dólares en un producto de pagos de Aztec descatalogado, con el analista on-chain PeckShield cifrando los activos drenados en aproximadamente 1.158 ETH, 150.000 DAI y 0,47 renBTC. El atacante financió inicialmente la operación con 0,134 ETH procedente de HitBTC y luego extrajo el botín de un rollup de fase 2 inmutable con cuatro años de antigüedad.
La Aztec Foundation insistió en X en que el producto vulnerado está desconectado de cualquier contrato inteligente de la red actual o del token AZTEC ERC20, pero el incidente llega cuatro días después de que un exploit el domingo del contrato inmutable Aztec Connect drenara unos 2,1 millones de dólares a través de lo que los investigadores calificaron como una vulnerabilidad de validación similar.
Por qué importa
Investigadores de BlockSec en Phalcon explicaron que el último ataque está relacionado, pero es distinto, del incidente del 14 de junio: un problema de vinculación de entrada pública del circuito que permitió al atacante superar la verificación on-chain mientras retiraba activos, con un punto de entrada diferente y otro pool como objetivo. Ambos bugs pertenecen a la misma familia de fallos de verificación de circuitos ZK en el stack heredado, y ambos residen en código que la propia Aztec ha marcado como descatalogado, lo que significa que no hay ruta de parche sin un redespliegue. El encuadre de separación de responsabilidades de la Foundation (red actual frente a producto heredado) protege la narrativa del token AZTEC, pero no aporta nada a la lección de fondo: un contrato inmutable, por definición, sigue siendo explotable mientras la lógica de verificación original tenga un hueco.
Impacto en el mercado
El incidente se enmarca en uno de los trechos más duros que ha visto DeFi en mucho tiempo: más de 30 protocolos hackeados por más de 600 millones de dólares en el ciclo actual, liderados por el exploit de Kelp DAO de 292 millones de dólares. El linaje de Aztec Connect ha perdido ya cerca de 4,3 millones de dólares entre dos eventos en una sola semana, y Aztec Labs aún no ha dado un calendario de remediación, limitándose a decir que habrá más actualizaciones.
Preguntas frecuentes
-
¿Qué producto de Aztec fue explotado?
Un rollup de fase 2 inmutable con cuatro años de antigüedad, usado como producto de pagos descatalogado. La Aztec Foundation dijo que no tiene vínculo con los contratos actuales de la red ni con el token AZTEC ERC20.
-
¿Cuánto se drenó y en qué activos?
PeckShield estimó alrededor de 2,165 millones de dólares en total: unos 1.158 ETH, 150.000 DAI y 0,47 renBTC. El atacante financió la operación con 0,134 ETH procedentes de HitBTC.
-
¿Está relacionado este exploit con el hack del domingo a Aztec Connect?
El equipo Phalcon de BlockSec dijo que sí, a nivel de familia. Ambos se remontan a problemas de vinculación de entrada pública en circuitos ZK que permitieron al atacante superar la verificación on-chain al retirar activos, aunque los puntos de entrada y los pools objetivo difieren.
-
¿Están en riesgo el token AZTEC o la red actual?
La Aztec Foundation dijo que no: el producto vulnerado está descatalogado y desconectado de los contratos de la red en activo y del token AZTEC. Los tenedores del legado, sin embargo, siguen expuestos mientras los contratos inmutables sigan en pie.
-
¿Puede Aztec Labs parchear el contrato explotado?
No. El contrato es inmutable, lo que significa que no hay ruta de actualización. El equipo no ha anunciado un calendario de remediación y ha dicho que seguirán las actualizaciones.
CryptoSlate
CoinDesk
Lookonchain
Crypto News
CoinTelegraph
WuBlockchain