Ils piratent un protocole DeFi inactif depuis plus de 3 ans sur Ethereum

Le 14 juin, un attaquant a détourné plus de 2,1 millions de dollars de contrats abandonnés d'Aztec Connect, un protocole de finance décentralisée (DeFi) sur Ethereum sans activité depuis 2023, comme l'a confirmé Aztec Labs, la société derrière Aztec Connect. La société de sécurité BlockSec avait déjà signalé le vol.

Aztec Connect, lancé en 2022, a fonctionné comme un pont (pont) d'Ethereum avec une technologie de confidentialité basée sur des preuves à connaissance nulle (zk, un système qui regroupe de nombreuses transactions et prouve mathématiquement qu'elles sont valides sans révéler leurs détails).

Le protocole a été interrompu en mars 2023, lorsque l'équipe Aztec Labs a cessé d'accepter les dépôts et a redirigé ses ressources vers le réseau Aztec actuel. Le contrat concerné par le vol, appelé RollupProcessorV3a continué à contenir des fonds provenant d’utilisateurs qui ne les ont jamais retirés.

En 2024 Aztec Labs a officiellement renoncé à ses clés d'administrateur sur ce contratle laissant complètement immuable (sans possibilité de le mettre en pause ou de le mettre à jour par quiconque, pas même son créateur).

La transaction qui a conduit au vol, selon BlockSec, comprenait 909 ETH (éther), 270 000 DAI (un stablecoin) et 167 wstETH (éther enveloppé de jalonnement, une version qui continue de générer du rendement lorsqu'elle est utilisée dans d'autres protocoles), en plus de petites quantités d'autres actifs.

Un test valide, mais sans autorisation

De BlockSec, ils assurent que la cause de l'attaque est un Échec du contrôle d'accès dans la fonction processRollup() du contrat RollupProcessorV3. Cette fonction devait vérifier deux choses avant d'accepter une opération, que la personne qui l'envoyait était un fournisseur de rollup autorisé, c'est-à-dire une adresse permettant de regrouper les opérations de plusieurs utilisateurs en un seul lot et de l'envoyer au contrat pour les traiter toutes ensemble.

En revanche, un mécanisme d'urgence appelé évasion a été activé trappe (voie de sortie), conçu pour que les utilisateurs puissent retirer eux-mêmes leurs fonds si le système cessait de fonctionner. Selon les recherches de BlockSec, aucune des deux conditions n'était réellement requise dans le codece qui a laissé la fonction ouverte à tous.

En pratique, le contrat vérifiait uniquement que la preuve cryptographique basée sur ZK présentée était mathématiquement cohérente, sans vérifier qui l'a envoyé. L'attaquant a profité de cette omission, comme l'explique l'équipe BlockSec.

« L'analyse initiale suggère que la cause première pourrait être un contrôle d'accès manquant dans processRollup(), une fonction qui devrait nécessiter soit un fournisseur de rollup autorisé, soit le chemin d'échappement pour être actif, mais la mise en œuvre n'exigeait aucune de ces conditions », a noté la société.

D'une autre société de sécurité, ExVul, ils ont décrit l'échec comme une logique de « test valide, mais sans autorisation », et il a été détaillé que l'attaquant a présenté des preuves de cumul falsifié qui a satisfait aux contrôles mathématiques sans réel soutien financier, ce qui lui a permis de mettre à jour l'état du système et d'exécuter une série de retraits non autorisés.

Contrats abandonnés, cible récurrente

Le cas Aztec Connect n’est pas un événement isolé. En mars, CriptoNoticias a signalé un schéma similaire dans un autre contrat appelé Noda, vieux de six ans et contenant moins de 300 lignes de code, qui a été vidé par une faille de vérification de signature qui n'a jamais été corrigée.

Le mécanisme de cette attaque était différent de celui d'Aztec Connect (dans Noda, le contrat acceptait toute signature valide d'une adresse sans vérifier à quelle opération elle correspondait, tandis que dans RollupProcessorV3 la faute était de savoir qui pouvait appeler une fonction), mais les deux cas partagent la même racine, un code déployé il y a des années, sans maintenance active, qui contrôle toujours les fonds ou les autorisations des utilisateurs.

Ce point commun a été souligné par l'équipe Keystone (entreprise qui a créé l'un des portefeuilles matériels les plus utilisés du marché) lors de l'analyse du cas Noda, comme le rapporte CriptoNoticias. Selon Keystone, lorsqu'un utilisateur approuve un contrat DeFi pour déplacer ses jetons, cette autorisation n'a pas de date d'expiration, donc les contrats approuvés il y a six ans ou plus continuent d'avoir accès à ces fonds même si le protocole n'est plus actif. Un portefeuille matériel n’atténue pas ce risque, car il protège les clés privées, et non les approbations déjà accordées.

À cela s’ajoute un autre facteur aggravant : les attaquants utilisent des modèles d’intelligence artificielle pour retracer les anciens contrats sur Ethereum et détecter des vulnérabilités telles que celles de Noda ou Aztec Connect à une échelle qui serait irréalisable manuellement. Si cette hypothèse se confirme, l'univers des contrats « oubliés » avec fonds actifs ou permis passerait d'un risque dispersé à une cible systématique. Selon Maximilano Carjuzaa, co-fondateur de Mooney On Chain, près de 100 % des exploits découverts ces derniers mois étaient liés d'une manière ou d'une autre à l'utilisation de l'IA.

Le paradoxe est que la même technologie qui pourrait être utilisée pour trouver ces failles les génère également. En février 2025, le protocole Moonwell a perdu 1,7 million de dollars en raison d'une erreur dans un contrat rédigé avec l'aide d'un modèle d'IA, qui a passé tous les examens humains sans être détecté. Entre les anciens contrats que personne n’examine et le nouveau code qui n’est pas non plus suffisamment examiné, la question de savoir combien de vulnérabilités de ce type restent non découvertes dans Ethereum reste ouverte.