- Les anciens contrats du réseau Aztec ont été épuisés de plus de 4 millions de dollars en trois jours.
- Les attaques ont exploité des failles dans la logique de vérification de la preuve sans connaissance.
- Le réseau central aztèque et le jeton AZTEC n’ont pas été affectés par les exploits.
L'infrastructure existante d'Aztec a fait l'objet d'une vague coordonnée d'attaques, entraînant des pertes dépassant les 4 millions de dollars en seulement trois jours.
Les exploits ciblaient des contrats intelligents obsolètes qui avaient déjà été fermés des années plus tôt mais détenaient toujours des liquidités en chaîne.
Bien qu’ils soient étiquetés comme inactifs et immuables, les contrats sont restés accessibles aux attaquants qui ont exploité les faiblesses de la logique de vérification des preuves sans connaissance.
Bien que les attaques n’aient pas affecté le réseau Aztec actuel ou son jeton AZTEC, elles ont exposé des risques de longue date liés aux systèmes DeFi retirés qui continuent d’exister sur Ethereum sans maintenance active ni chemins de mise à niveau.
Première faille : Aztec Connect a perdu 2,1 millions de dollars
Le premier incident s'est produit le 14 juin, lorsque des attaquants ont exploité le protocole Aztec Connect, un pont obsolète axé sur la confidentialité et qui avait été officiellement fermé après sa phase de retrait.
Le contrat était déjà considéré comme inactif, mais il contenait encore des fonds résiduels.
L'attaquant a réussi à drainer environ 2,1 millions de dollars d'actifs numériques, dont environ 909 ETH, 270 000 DAI et 167 wstETH, ainsi que d'autres avoirs plus petits.
L'exploit était lié à des failles dans la manière dont la vérification des preuves cumulatives était gérée, permettant d'accepter comme légitimes des preuves invalides ou manipulées.
Ce qui rendait la situation plus critique était la nature du contrat lui-même.
Aztec Connect a été décrit comme immuable, ce qui signifie qu'il ne pouvait pas être suspendu ou corrigé une fois déployé.
Même si les utilisateurs avaient auparavant été encouragés à retirer leurs fonds avant la fermeture, le solde restant est devenu une cible facile à exploiter des années plus tard.
Les équipes de sécurité qui ont examiné l'incident ont souligné une rupture dans la relation entre la validation de la preuve sans connaissance et la logique de règlement en chaîne.
En termes simples, le système a accepté des preuves qui ne correspondaient pas correctement à l'état sous-jacent de la transaction, permettant ainsi à l'attaquant de déclencher des retraits non autorisés.
Deuxième attaque : Private Rollup Bridge exploité pour 2,15 millions de dollars
À peine trois jours plus tard, un deuxième exploit a touché un autre système existant connu sous le nom de Private Rollup Bridge.
Ce contrat faisait également partie de l'ancienne infrastructure d'Aztec et était devenu obsolète suite à la transition des conceptions de cumul antérieures.
Dans ce cas, les attaquants ont drainé environ 1 158 ETH, évalués à près de 2,15 millions de dollars au moment de l’incident.
La méthode utilisée était différente dans son exécution mais similaire dans sa cause technique.
Au lieu de manipuler directement les retraits via une inadéquation des preuves de base, l’attaquant a exploité un mécanisme vulnérable de « trappe de secours » intégré dans la conception du pont.
En soumettant une preuve de connaissance zéro spécialement conçue, l'attaquant a pu déclencher la logique de sortie du contrat.
Le système a incorrectement validé la preuve et débloqué les fonds sans vérification appropriée des transitions d'état sous-jacentes.
Cela a permis à l’attaquant d’extraire des liquidités en une seule séquence coordonnée.
Comme l’exploit précédent, cette faille n’impliquait pas de compromission de clé privée ni de vulnérabilités de réentrance.
Au lieu de cela, il a mis en évidence des problèmes plus profonds dans la façon dont la validation des preuves était structurée dans les anciens systèmes de cumul, en particulier lorsque les contrats restent actifs en permanence sur la chaîne après avoir été officiellement expirés.
Réponse d'Aztec et des sociétés de sécurité
À la suite des deux incidents, Aztec Labs et la Fondation Aztec ont confirmé que les systèmes concernés étaient des produits obsolètes sans connexion au réseau Aztec actuel ou à l'écosystème de jetons AZTEC.
La Fondation Aztec a été informée d'un exploit potentiel ciblant un produit obsolète survenu le 17 juin 2026. Il n'existe aucun lien entre ce produit et des contrats intelligents liés au réseau actuel ou au jeton AZTEC ERC20.
Le produit était obsolète depuis 4 ans… https://t.co/kANaIuw8HF
– Fondation Aztèque (@aztecFND) 18 juin 2026
Ils ont souligné qu’aucun des deux contrats ne pouvait être mis à niveau, suspendu ou contrôlé, car les deux étaient conçus pour être immuables au moment du déploiement.
La société de sécurité CertiK Alert a également signalé l'exploit Private Rollup Bridge, identifiant l'adresse de l'attaquant et confirmant le mouvement de fonds lié à une transaction Ethereum spécifique.
Leur analyse s'alignait sur d'autres revues, suggérant que la vulnérabilité provenait de failles dans la vérification de preuve sans connaissance plutôt que de bugs de contrats intelligents conventionnels.
Les représentants d'Aztec ont également précisé que les incidents Private Rollup Bridge et Aztec Connect étaient des événements distincts, même s'ils se sont produits dans un court laps de temps et partageaient des faiblesses techniques similaires.
Voir l’article original en anglais
