Aztec est confronté à un problème auquel aucun protocole ne veut faire face, un deuxième exploit en 72 heures.
Ce qui a commencé comme une violation de 2,1 millions de dollars le 14 juin a maintenant été suivi d'une attaque distincte de 2 millions de dollars trois jours plus tard, ciblant un autre contrat obsolète à travers la même faille fondamentale : une vérification compromise de la preuve sans connaissance.
Ensemble, les deux incidents ont coûté plus de 4 millions de dollars et soulevé des questions inconfortables sur le risque à long terme d'une infrastructure héritée immuable que les protocoles ne peuvent plus contrôler.
La Fondation Aztèque a confirmé le deuxième incident dans un communiqué, notant qu'il a été informé de l'exploit ciblant un produit obsolète survenu le 17 juin 2026.
La fondation a clairement indiqué que le produit concerné n'avait aucun lien avec des contrats intelligents liés au réseau Aztec actuel ou au jeton AZTEC ERC-20, mais le timing rend l'assurance plus difficile à vendre qu'elle ne le serait autrement.
Le premier exploit : Aztec Connect drainé le 14 juin
La séquence commence il y a trois jours. Aztec a de nouveau reconnu qu'un attaquant avait détourné environ 2,1 millions de dollars d'Aztec Connect le 14 juin, ciblant un contrat obsolète qui avait été résilié en 2023.
La Fondation Aztec a été informée d'un exploit potentiel ciblant Aztec Connect qui s'est produit plus tôt dans la journée, le 14 juin 2026. Il n'existe aucun lien entre ce produit et des contrats intelligents liés au jeton AZTEC ERC20 ou au réseau Aztec actuel.
Aztec Connect était… https://t.co/R3eImP8kCR
– Fondation Aztèque (@aztecFND) 14 juin 2026
Le vecteur d'attaque était une vulnérabilité du système de vérification des preuves par cumul, un point d'entrée techniquement sophistiqué qui obligeait l'attaquant à comprendre comment l'architecture cryptographique d'Aztec traitait et validait les preuves.
Les actifs volés lors de cette première attaque comprenaient environ 909 ETH, 270 000 DAI, 167 wstETH et un mélange d'autres actifs. Aztec Labs a confirmé après coup que le contrat était immuable et ne pouvait pas être suspendu, ce qui signifie qu'une fois que l'attaquant a identifié et exécuté l'exploit, aucune intervention d'urgence n'était disponible pour arrêter la fuite. Les fonds ont bougé et l’équipe n’a pu qu’observer et documenter.
L’immuabilité qui était autrefois une caractéristique, signalant le manque de confiance et la résistance aux manipulations administratives, est devenue un handicap dès qu’une vulnérabilité est apparue dans un code auquel personne ne pouvait toucher.
Trois jours plus tard, le pont privé Rollup tombe
Si le premier exploit a fait sourciller, le second, arrivé seulement 72 heures plus tard, a tiré la sonnette d’alarme considérablement plus loin.
Comment Aztec a été exploité deux fois en seulement 3 jours :
14 juin :
– Un attaquant a détourné environ 2,1 millions de dollars d’Aztec Connect
– L’attaque visait un contrat obsolète qui avait été résilié en 2023
– L’attaquant a exploité une vulnérabilité dans la vérification de preuve de cumul
Autour:
909… pic.twitter.com/67IN2C3rYY
– Param (@Param_eth) 18 juin 2026
L'analyse de Param ETH détaille comment cette fois l'attaquant a ciblé le Private Rollup Bridge, en exploitant une fonction critique connue sous le nom de « trappe d'évacuation », un mécanisme généralement conçu comme une soupape de sécurité permettant aux utilisateurs de sortir dans des conditions spécifiques.
L'attaquant n'a pas trouvé de clé privée ni exploité de vulnérabilité de réentrance. Au lieu de cela, ils ont construit une preuve spécialement conçue sans connaissance, une fausse preuve que la logique de vérification du contrat acceptait comme valide. Une fois accepté, le contrat débloquait les fonds comme si la transaction était légitime. Environ 1 158 ETH, d’une valeur d’environ 2 millions de dollars, sont sortis via ce mécanisme avant que l’attaque ne soit identifiée.
La signature technique est ici significative. Une fausse preuve ZK qui réussit la vérification n'est pas une attaque par force brute ou un jeu d'ingénierie sociale, elle nécessite une connaissance approfondie de la façon dont le système de preuve est structuré et des endroits où sa logique de validation peut être trompée. La question de savoir si les deux exploits partagent un attaquant ou une méthodologie commune reste à l'étude, mais le fait que les deux exploits aient ciblé la vérification de la preuve ZK à trois jours d'intervalle n'est pas facile à écarter comme une coïncidence.
En prenant du recul sur les deux incidents, les analystes de surveillance et de chaîne de PeckShield tracent une ligne directrice claire : les deux exploits provenaient de failles dans la façon dont les preuves de connaissance nulle étaient vérifiées, et tous deux ciblaient l'infrastructure du pont plutôt que le réseau aztèque principal lui-même.
#PeckShieldAlert Le @aztecnetwork Private Rollup Bridge a subi un exploit, entraînant une perte d'environ 2,165 millions de dollars de cryptos, dont 1,158 000 $ ETH, 150 000 $ DAI et 0,47 $ renBTC
L'exploiteur a été initialement financé avec 0,134 $ ETH de #HitBTC. pic.twitter.com/CHZOOQ1eDW
– PeckShieldAlert (@PeckShieldAlert) 18 juin 2026
Le protocole principal et le jeton AZTEC actuel ne sont pas affectés, l'Aztec Foundation a été clair sur ce point.
La Fondation Aztec a été informée d'un exploit potentiel ciblant un produit obsolète survenu le 17 juin 2026. Il n'existe aucun lien entre ce produit et des contrats intelligents liés au réseau actuel ou au jeton AZTEC ERC20.
Le produit était obsolète depuis 4 ans… https://t.co/kANaIuw8HF
– Fondation Aztèque (@aztecFND) 18 juin 2026
Mais cette distinction, bien que techniquement exacte, ne résout pas entièrement le problème de la confiance. Obsolète ne veut pas dire déconnecté dans l’esprit des utilisateurs qui voient 4 millions de dollars quitter l’écosystème d’un protocole en trois jours. Les exploits de pont, en particulier, ont l'habitude de déclencher des cascades de retraits, car ils frappent l'infrastructure sur laquelle les utilisateurs comptent pour transférer des fonds et, une fois que cette confiance s'érode, elle a tendance à évoluer plus rapidement que n'importe quel plan de remédiation.
Ce que les contrats immuables signifient pour le risque hérité
Les incidents aztèques font ressortir une tension que l’écosystème DeFi au sens large n’a pas entièrement résolue. Les contrats intelligents immuables offrent de véritables garanties de sécurité : ils ne peuvent pas être modifiés par les développeurs, ni exploités par des initiés, ni modifiés discrètement de manière à nuire aux utilisateurs. Cette architecture se situe au cœur philosophique de la finance sans confiance.
Mais l’immuabilité signifie également que lorsqu’une vulnérabilité existe dans un code obsolète, l’équipe reste à l’écart. Aztec Labs ne détient aucune clé d'administrateur sur les systèmes concernés. Il ne peut pas les suspendre, les mettre à niveau ou rediriger les fonds. La déclaration de la Fondation Aztèque le rend explicite et il ne s'agit pas d'une déviation, il s'agit simplement de la réalité technique de la manière dont ces contrats ont été conçus.
La question à laquelle l’industrie doit désormais répondre est de savoir comment les protocoles gèrent de manière responsable le risque à long terme des infrastructures existantes qu’ils ne contrôlent plus. L’extinction d’un produit ne le vide pas immédiatement de ses fonds, et tant que le capital reste bloqué dans des contrats obsolètes, la surface d’attaque reste active.
Divulgation : Il ne s’agit pas de conseils en matière de trading ou d’investissement. Faites toujours vos recherches avant d’acheter une crypto-monnaie ou d’investir dans un service.
Suivez-nous sur Twitter @nulltxnews pour rester à jour avec les dernières nouveautés Crypto, NFT, IA, cybersécurité, informatique distribuée et Actualités du métaverse!
Voir l’article original en anglais
