Aztec : un exploit de 2 millions de dollars frappe un produit obsolète

Ce qu’il faut retenir :

• Aztec Labs enquête sur un exploit d’environ 2 millions de dollars visant un ancien produit de paiement.
• Le produit touché, un rollup mis hors service en 2022, n’est plus contrôlé par Aztec Labs.
• C’est la deuxième attaque en quatre jours sur l’ancienne infrastructure d’Aztec.

Aztec Labs, la société de développement derrière le projet de mise à l’échelle d’Ethereum axé sur la confidentialité Aztec, enquête sur un exploit d’environ 2 millions de dollars touchant un produit de paiement déprécié. La faille a été détectée ce mercredi par plusieurs sociétés de cybersécurité blockchain.

D’après la société d’analyse PeckShield, l’attaque a siphonné près de 2,165 millions de dollars en cryptomonnaies, dont 1 158 ETH, 150 000 DAI et 0,47 renBTC. L’assaillant aurait initialement financé l’opération avec 0,134 ETH provenant de la plateforme HitBTC.

L’exploit touche-t-il le réseau Aztec actuel ou le token AZTEC ?

Non, et c’est le point central pour les détenteurs. La Fondation Aztec a indiqué qu’il n’existe aucun lien entre le produit visé et les contrats intelligents du réseau actuel ou le token AZTEC (ERC20). Le produit exploité est un rollup de stage 2 immuable, c’est-à-dire dont le code ne peut plus être modifié, mis hors service il y a quatre ans.

Aztec Labs a précisé ne détenir aucune clé d’administration ni aucun contrôle sur ce système hérité. Un rollup est une solution qui regroupe des transactions hors chaîne avant de les inscrire sur Ethereum, afin de réduire les coûts et la congestion. Celui-ci appartenait à une génération abandonnée du projet.

Deux attaques en quatre jours sur l’ancienne infrastructure

L’incident est le deuxième en quatre jours à viser des composants dépréciés d’Aztec. Dimanche 14 juin, une attaque distincte avait drainé environ 2,1 millions de dollars sur le contrat immuable Aztec Connect.

Les chercheurs de BlockSec estiment que la nouvelle attaque est liée à celle du 14 juin, mais qu’elle a ciblé un pool différent via un autre point d’entrée. La firme l’attribue à une faille de validation qui permettait à l’attaquant de retirer des actifs tout en passant les vérifications inscrites sur la chaîne. “Ce n’est pas le même bug que le précédent”, ont indiqué les chercheurs de BlockSec sur X, tout en notant que les deux failles relèvent du même type de problème de liaison des entrées publiques de circuit.

Une nouvelle ligne dans une série noire pour la DeFi

L’affaire Aztec s’ajoute à l’une des pires périodes pour la sécurité de la finance décentralisée. Depuis le début de cette vague, plus de 30 protocoles ont été piratés pour un total supérieur à 600 millions de dollars, en tête desquels l’exploit de 292 millions de dollars subi par Kelp DAO. La montée en puissance des outils d’intelligence artificielle, utilisés autant par les attaquants que par les défenseurs, accompagne cette accélération des incidents.

Ce qu’il faut surveiller

Aztec Labs a promis de communiquer de nouveaux éléments au fil de son enquête, sans calendrier précis. La question immédiate porte sur l’existence d’autres composants dépréciés encore vulnérables, alors que deux contrats hérités ont déjà cédé en moins d’une semaine. Pour les utilisateurs du réseau Aztec actuel, le message reste le même : les fonds et le token AZTEC ne sont pas concernés par ces deux attaques.