Aztec Connect: $2.1M похищено из закрытого моста
Атака на Aztec Connect — напоминание всей отрасли: закрытие проекта без принудительной миграции средств и блокировки контракта превращает deprecated код в потенциальный источник потерь на годы вперёд. ---
Злоумышленник вывел $2.1 млн из устаревшего смарт-контракта Aztec Connect в воскресенье — спустя три года после официального закрытия сервиса. Атака была направлена на контракт RollupProcessorV3 и стала возможной из-за уязвимости в верификации zero-knowledge proof. Инцидент наглядно показывает: deprecated код в блокчейне остаётся живым вектором атаки. ---
Что произошло
8:26 утра по ET в воскресенье — именно в это время была зафиксирована атака на контракт `RollupProcessorV3` приватного моста Aztec Connect.
Aztec Connect — это privacy bridge, который позволял пользователям взаимодействовать с DeFi-протоколами с сохранением конфиденциальности за счёт zero-knowledge proof. Сервис был официально закрыт, однако смарт-контракт продолжал существовать в сети без деактивации.
Атакующий воспользовался недостатком в механизме верификации ZK-доказательств в контракте. Точные технические детали эксплойта пока раскрыты частично, однако известно, что именно некорректная проверка ZK-proof позволила злоумышленнику манипулировать логикой контракта и вывести средства.
Итог — $2.1 млн ущерба из deprecated контракта, который технически никто уже не администрировал.
Атакующий украл $2.1 млн из устаревшего смарт-контракта Aztec Connect, который был отключен три года назад. Эксплуатация использовала уязвимость в проверке доказательств нулевого разглашения в контракте RollupProcessorV3. Атака произошла в воскресенье около 8:26 ET.
Deprecated ≠ безопасно. Смарт-контракты не «отключаются» автоматически при закрытии проекта — они продолжают жить в блокчейне и принимать транзакции до тех пор, пока в них есть средства
ZK-экосистема под пристальным вниманием. Уязвимость в верификации zero-knowledge proof — редкий, но критически опасный класс багов, актуальный для всего растущего сегмента ZK-протоколов
Три года — достаточный срок для атаки. Злоумышленники не торопятся: изучение устаревшего кода без активной команды безопасности может занимать месяцы и годы
Вопрос об остаточных средствах остаётся открытым. Неизвестно, остались ли в контракте другие активы пользователей, подверженные аналогичному риску
--
Практический разбор рынка без шума. Делюсь тем, что торгую сам, объясняю логику и помогаю понимать контекст.
