L'ancienne infrastructure d'Aztec a été attaquée pour la deuxième fois en autant de jours. Le nouvel incident n’a pas affecté le produit existant, mais un contrat obsolète qui continuait à stocker des actifs sur la blockchain.
Selon SlowMist, l'attaquant a retiré environ 2,15 millions de dollars. Les fonds volés comprenaient 1 158 ETH, 150 000 DAI et une petite quantité de renBTC. La principale conclusion des analystes est désagréable pour l'ensemble du secteur : un produit fermé ne cesse pas d'être un risque s'il reste de l'argent dans ses contrats.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
Un pirate informatique a triché sur le contrôle cumulatif
L'analyse préliminaire de SlowMist indique une erreur dans le mécanisme de vérification. L'attaquant a utilisé une fausse preuve de cumul, après quoi le contrat l'a acceptée comme correcte et a libéré les actifs des réserves.
Pour l’utilisateur moyen, une telle attaque semble presque invisible. Une transaction a lieu sur le réseau, le contrat exécute la logique sous-jacente et les fonds sont envoyés à l'adresse de l'attaquant.
Le problème est que l’ancien système fonctionnait toujours sous forme de code, même si le produit avait depuis longtemps cessé de faire partie de l’infrastructure réelle. C’est dans de tels endroits que les erreurs peuvent vivre des années et attendre quelqu’un qui trouvera le moyen de les exploiter.
Aztec n'a pas pu arrêter le retrait des fonds
Aztec Labs a confirmé le piratage et a signalé que les fonds avaient quitté le contrat intelligent immuable de l'ancien produit de paiement. Il a été mis hors service en 2022.
L’équipe a spécifiquement souligné qu’elle ne disposait pas de clés administratives ni de fonction pour arrêter les transactions. Cela signifiait que les développeurs ne pouvaient pas suspendre rapidement le contrat ou intervenir une fois l'attaque lancée.
Cette situation montre les inconvénients de l’immuabilité. Un contrat intelligent ne peut pas être modifié en silence, ce qui protège les utilisateurs de l'arbitraire de l'équipe. Mais si une vulnérabilité persiste dans le code et que les actifs ne sont pas supprimés, il peut s'avérer impossible de résoudre le problème.
Ce n'est pas le même hack que dimanche
Le nouvel incident est différent de l’attaque contre Aztec Connect survenue quelques jours plus tôt. Ensuite, environ 2,1 millions de dollars ont également été retirés d'un autre ancien contrat.
Aztec Connect était un rollup privé qui a fermé ses portes en mars 2023. Après cela, l'équipe a arrêté les dépôts et est passée au développement du réseau Aztec, la prochaine version de son infrastructure.
Mais l’arrêt du produit ne signifiait pas que le risque disparaissait complètement. Les anciens contrats conservaient les actifs des utilisateurs, ce qui en faisait une cible attractive.
Les infrastructures abandonnées deviennent une récompense pour les pirates
Le cas aztèque n’est pas isolé. Plus tôt en juin, une histoire similaire s'est produite avec Raydium, où environ 1,3 million de dollars ont été retirés de pools obsolètes.
Dans tous ces cas, le problème est similaire. Le projet développe de nouvelles versions, supprime les anciennes interfaces et cesse de prendre en charge activement l'ancien code. Mais le contrat reste en ligne, et avec lui les actifs et les éventuelles erreurs demeurent.
Blockful a décrit ces contrats comme des « récompenses » permanentes pour les pirates informatiques. Si l’équipe ne surveille plus l’ancien produit, mais qu’il y a encore de l’argent à l’intérieur, les attaquants ont une cible claire.
Pourquoi fermer un produit ne suffit pas
Dans les logiciels traditionnels, l'ancien système peut être désactivé. Tout est plus compliqué dans la blockchain. Le contrat intelligent continue d'exister s'il est déployé sur le réseau et que des utilisateurs ou des réserves y sont toujours associés.
Par conséquent, l’achèvement du produit ne doit pas se limiter à l’annonce et à l’arrêt de nouveaux dépôts. Nous avons besoin d'une migration des actifs, d'avertissements pour les utilisateurs, d'un suivi des soldes et d'un délai clair pour la fermeture des anciennes routes de retrait.
Si cela n’est pas fait, l’ancien contrat se transforme en dette technique. La seule différence est que cette dette peut contenir des millions de dollars d’actifs réels.
Le risque est particulièrement élevé pour les systèmes privés
Aztec a travaillé avec des transferts privés et une infrastructure de cumul. De tels systèmes sont plus complexes que les contrats DeFi conventionnels car ils utilisent des preuves, des contrôles spéciaux et une logique comptable plus complexe.
Plus le mécanisme est complexe, plus il y a de chances qu'une erreur non triviale y reste. Surtout si le produit n'est plus en cours de développement et que l'équipe se concentre sur une nouvelle version.
Cela ne signifie pas que les protocoles privés ne sont pas intrinsèquement sécurisés. Mais ce qui est particulièrement important pour eux, c'est un audit à long terme, un plan d'arrêt des systèmes existants et la surveillance des actifs qui restent dans les contrats existants.
Les utilisateurs supportent également une partie du risque
De nombreux détenteurs de fonds ne retirent pas immédiatement leurs actifs après la clôture du produit. Parfois, le montant semble faible, parfois l'utilisateur oublie simplement l'ancienne position et parfois il ne se rend pas compte que le contrat n'est plus pris en charge.
Cela n'a pas d'importance pour un pirate informatique. Si l’ancien système a accumulé un solde total, il devient une cible. Même les soldes d’utilisateurs dispersés peuvent représenter une somme importante.
Par conséquent, lors de la fermeture d'un pont, d'un pool ou d'un rollup, il est préférable de ne pas laisser de fonds « pour plus tard ». Si l’équipe propose une migration ou un retrait, le reporter est risqué.
SlowMist conseille de retirer les actifs des anciens contrats
À la suite des attaques, SlowMist a recommandé que les protocoles retirent les fonds des anciens contrats de manière ordonnée. Ceci est particulièrement important si le code ne peut pas être mis à jour ou arrêté.
Cette approche devrait faire partie de la sécurité opérationnelle normale. Les projets doivent non seulement penser au lancement de nouveaux produits, mais également à la fin en toute sécurité des anciens.
C’est une leçon douloureuse mais nécessaire pour l’industrie. Les anciens contrats ne disparaissent pas d’eux-mêmes de la blockchain. Si des actifs y restent, ils continuent de faire partie de la surface d’attaque.
Quelle est la prochaine étape ?
Aztec doit expliquer quels contrats existants peuvent encore contenir des actifs et quelles mesures l'équipe proposera aux utilisateurs. Après deux attaques en une semaine, le marché attendra non seulement une analyse technique, mais aussi un plan visant à réduire les risques dans les anciennes infrastructures.
Pour les autres protocoles, il s'agit d'un avertissement. Si un projet arrête un produit mais ne supprime pas les actifs des contrats, il laisse la porte ouverte aux pirates informatiques pour trouver des bugs.
La conclusion principale est simple. Le hack Aztec montre qu’un contrat obsolète peut être plus dangereux qu’un nouveau produit. C’est moins testé, moins surveillé et est souvent considéré comme une histoire close. Mais même s’il contient des fonds, il ne s’agit pas d’une archive, mais d’une cible active d’attaque.
En savoir plus: La cotation sur Upbit a provoqué de fortes fluctuations de prix dans neuf altcoins à la fois
Voir l’article original en russe
