Exploit Aztec Legacy pokazuje długoterminowe ryzyko przestarzałych kontraktów kryptowalutowych

Stare inteligentne kontrakty mogą pozostawać niebezpieczne długo po tym, jak protokół przeszedł dalej.

Analiza SlowMist dotycząca kradzieży 2,19 miliona dolarów z Aztec Connect ponownie zwróciła uwagę na ten problem. Dotknięty kontrakt był częścią przestarzałego systemu legacy, a nie aktywnej sieci Aztec, jednak incydent ten stanowi istotne ostrzeżenie dla użytkowników i deweloperów DeFi.

TL;DR

• SlowMist przeanalizował exploit o wartości 2,19 miliona dolarów, który dotknął przestarzałą infrastrukturę legacy Aztec Connect.
• Aktywna sieć Aztec nie została opisana jako zagrożona w głównej analizie.
• Problem uwypukla ryzyko związane z niezmiennymi kontraktami, które pozostają on-chain po wycofaniu produktu.
• Dla użytkowników lekcja jest prosta: stare interfejsy protokołów i porzucone kontrakty mogą nadal nieść realne ryzyko finansowe.

Wycofanie nie zawsze oznacza brak zagrożenia

W tradycyjnym oprogramowaniu wycofany produkt można często załatać, wyłączyć lub całkowicie usunąć z zasięgu użytkowników. Systemy on-chain są inne. Jeśli inteligentny kontrakt jest niezmienny i nadal przechowuje aktywa lub uprawnienia, może nadal istnieć jako aktywna powierzchnia ataku.

To jest niekomfortowa lekcja płynąca z exploita Aztec Connect przeanalizowanego przez SlowMist. Kontrakt był częścią systemu legacy, który został już wcześniej wycofany, ale atakujący nadal byli w stanie go zaatakować. Raporty dotyczące tego incydentu wskazują również na dodatkowe obawy związane z kontraktami legacy, jednak najdokładniejsze pierwotne źródło potwierdza sprawę Aztec Connect na kwotę 2,19 miliona dolarów.

To rozróżnienie ma znaczenie. To nie jest historia o tym, że obecna sieć Aztec została naruszona. To historia o długim ogonie starych inteligentnych kontraktów, gdzie użytkownicy mogą zakładać, że ryzyko zniknęło tylko dlatego, że produkt nie jest już promowany.

Kompromis niezmienności

Kryptowaluty często traktują niezmienność jako zaletę i pod wieloma względami tak jest. Użytkownicy nie chcą, aby operatorzy protokołów przepisywali zasady, gdy warunki rynkowe stają się niewygodne. Ale niezmienność ma drugą stronę: jeśli wadliwy lub narażony kontrakt nie może zostać wstrzymany ani zaktualizowany, deweloperzy mogą mieć niewiele możliwości interwencji, gdy coś pójdzie nie tak.

Problem legacy Aztec wpisuje się w ten szerszy kompromis. Przestarzała infrastruktura może pozostawać on-chain nawet gdy zespół przeszedł do nowszych systemów. Jeśli użytkownicy zostawią środki lub będą nadal korzystać ze starych kontraktów, obecny plan rozwoju protokołu może ich nie chronić.

Tworzy to trudny problem bezpieczeństwa dla DeFi. Deweloperzy mogą publikować ostrzeżenia, wygaszać interfejsy i rekomendować migracje, ale mogą nie być w stanie usunąć każdego starego kontraktu. Atakujący tymczasem mogą nieustannie skanować w poszukiwaniu aktywów, przypadków brzegowych i zapomnianych uprawnień.

Na co powinni zwracać uwagę traderzy i użytkownicy

Dla zwykłych użytkowników praktyczna lekcja brzmi: traktować stare kontrakty z ostrożnością. Znajoma nazwa protokołu nie oznacza automatycznie, że stary interfejs lub most pozostaje bezpieczny. Przed interakcją z jakimkolwiek kontraktem legacy użytkownicy powinni sprawdzić, czy protokół nadal go obsługuje, czy środki są nadal monitorowane i czy istnieje oficjalna ścieżka migracji.

Dla deweloperów incydent jest przypomnieniem, że plany wycofywania muszą być częścią projektu protokołu. Wycofanie systemu nie jest tym samym co usunięcie ryzyka. Jasne ostrzeżenia, okna wypłat, monitorowanie i procedury awaryjne mają znaczenie, szczególnie gdy kontrole administracyjne są celowo ograniczone.

Kluczowym punktem nie jest to, że niezmienny kod jest zły. Kluczowym punktem jest to, że niezmienność sprawia, iż dyscyplina operacyjna staje się ważniejsza. Gdy kod jest aktywny i niezmienny, porzucona infrastruktura może przez lata stanowić część obwodu bezpieczeństwa.

Artykuł został napisany przez redakcję News Desk i zredagowany przez Samuela Rae.

Raport oparty jest na informacjach od SlowMist. at SlowMist