Aztec Labs enquête sur une exploitation estimée à 2,165 millions de dollars d'un produit de paiements Aztec obsolète, l'analyste on-chain PeckShield chiffrant les actifs drainés à environ 1 158 ETH, 150 000 DAI et 0,47 renBTC. L'attaquant a d'abord financé l'opération avec 0,134 ETH provenant de HitBTC, puis a parcouru un rollup de stade 2 immuable, vieux de quatre ans, pour en extraire le produit.
La Fondation Aztec a souligné sur X que le produit visé n'est relié à aucun smart contract du réseau actuel ni au token ERC20 AZTEC — mais l'incident survient quatre jours après l'exploitation dimanche du contrat immuable Aztec Connect, qui avait drainé environ 2,1 millions de dollars via ce que les chercheurs ont qualifié de faiblesse de validation similaire.
Pourquoi c'est important
Les chercheurs de BlockSec, chez Phalcon, ont indiqué que la dernière attaque est liée, mais distincte, de l'incident du 14 juin : un problème de liaison d'entrée publique du circuit qui a permis à l'attaquant de passer la vérification on-chain tout en retirant des actifs, avec un point d'entrée séparé et un pool différent visé. Les deux bugs appartiennent à la même famille de failles de vérification de circuit ZK dans la pile historique — et se trouvent tous deux dans du code qu'Aztec lui-même a signalé comme obsolète, ce qui signifie qu'aucun correctif n'est possible sans redéploiement. Le cadrage de séparation des préoccupations de la Fondation (réseau actuel contre produit historique) protège le narratif du token AZTEC, mais n'apporte rien à la leçon plus large : un contrat immuable, par définition, reste exploitable tant que la logique de vérification d'origine présente une faille.
Impact sur le marché
L'incident s'inscrit dans l'une des périodes les plus difficiles qu'ait connues la DeFi depuis un moment — plus de 30 protocoles piratés pour plus de 600 millions de dollars au cours du cycle actuel, rythmés par l'exploitation de 292 millions de dollars chez Kelp DAO. La lignée Aztec Connect a désormais perdu près de 4,3 millions de dollars sur deux événements en une seule semaine, et Aztec Labs n'a pas encore annoncé de calendrier de remédiation, se contentant d'indiquer que des mises à jour suivront.
Questions fréquemment posées
-
Quel produit Aztec a été exploité ?
Un rollup de stade 2 immuable, vieux de quatre ans, utilisé comme produit de paiements obsolète. La Fondation Aztec a indiqué qu'il n'a aucun lien avec les contrats du réseau actuel ni avec le token ERC20 AZTEC.
-
Combien a été drainé et dans quels actifs ?
PeckShield a estimé le total à environ 2,165 millions de dollars : environ 1 158 ETH, 150 000 DAI et 0,47 renBTC. L'attaquant a financé l'opération avec 0,134 ETH routés depuis HitBTC.
-
Cette exploitation est-elle liée au piratage d'Aztec Connect de dimanche ?
L'équipe Phalcon de BlockSec a répondu par l'affirmative, au niveau de la famille de failles. Les deux remontent à des problèmes de liaison d'entrée publique de circuit ZK qui ont permis à l'attaquant de passer la vérification on-chain tout en retirant des actifs, bien que les points d'entrée et les pools visés…
-
Le token AZTEC ou le réseau actuel sont-ils en danger ?
La Fondation Aztec a répondu non — le produit visé est obsolète et déconnecté des contrats du réseau en activité et du token AZTEC. Les détenteurs de l'historique restent toutefois exposés tant que les contrats immuables sont en place.
-
Aztec Labs peut-il corriger le contrat exploité ?
Non. Le contrat est immuable, ce qui signifie qu'aucune voie de mise à niveau n'existe. L'équipe n'a annoncé aucun calendrier de remédiation et a indiqué que des mises à jour suivront.
CryptoSlate
CoinDesk
Crypto News
CoinTelegraph
WuBlockchain
Lookonchain