黑客在四天内从第二个 Aztectrac中窃取了 200 万美元，凸显了废弃协议的风险。

6 月 17 日，攻击者从已弃用的 Aztec 支付产品中窃取了约 200 万美元，而就在几天前，针对该项目已停用的 Aztec Connect 桥接器的另一次攻击导致 219 万美元损失。. 

接连发生的这两起事件dent印证了黑客攻击废弃智能trac的趋势，这些合约持有用户资金，但却没有团队能够对其进行修补。.

已弃用的阿兹特克智能trac是如何被利用的？

安全研究员 Cos 于 6 月 18 日标记了 Aztec 私有 Rollup 桥合约中的三笔可疑交易。tracCos 在 X 上的帖子，这些交易分别为 1,158 ETH、150,000 DAI 和 0.47 renBTC，总计约 215 万美元。

Cos 强调的目标trac与 6 月 14 日被违反的合同并非同一份合同。. 

安全研究员 thisvishalsingh在 X 上证实，Private Rollup Bridge 资金流失“dent 上的 210 万美元资金流失trac与几天前

Aztec Labs 在 X 上表示，它正在“调查一个可能影响 2021 年已弃用的 Aztec 支付产品的潜在漏洞”，并将该trac描述为“一个不可更改的第二阶段汇总，已于 2022 年终止”。

阿兹特克 基金会表示 ，“该产品已于 4 年前停用，阿兹特克实验室对该系统不再拥有任何控制权。”

6月14日的攻击（ Aztec Labs在事后分析报告中对此进行了详细记录）利用了Aztec Connect的证明验证系统及其链上结算代码读取同一批次交易时存在的漏洞。证明系统以32行为一组进行检查，而结算代码仅处理批次中被声明为“真实”的交易行。 

据 Aztec Labs 称，攻击者通过 14 个精心设计的 rollup 提交打包成单个交易，窃取了约 909 个 ETH、270,513 个 DAI、168 个 wstETH 和几个 Yearn 金库代币，总计约 219 万美元。.

6 月 15 日的后续攻击使用了相同的技术，攻击了剩余的 DeFi 桥头仓位，并盗走了 88,000 美元。.

Aztec Connect 是一个保护隐私的零知识汇总工具，于 2022 年推出，并于 2023 年弃用。. 

2024年4月，在敦促用户提现一年后，Aztec Labs放弃了所有管理角色和链上升级权限。此举是为了让其他仍持有资金的用户能够在团队不介入的情况下退出。. 

然而，这也意味着，如果检测到任何漏洞，Aztec 团队将无法部署任何修复程序。.

区块链安全公司 Blockaid 报告 称，其监控平台在 6 月 14 日执行窃取交易前约 6 分钟检测到了攻击者的准备活动。 

为什么已弃用的协议会受到攻击？

阿兹特克dent并非孤例。6月15日， DeFi 期权协议 Thetanuts Finance 证实，其多年前迁移的旧金库遭到210万美元的攻击。安全研究员ExVul表示，此次攻击利用了该金库赎回逻辑中的一个漏洞。

Blockful.eth 在 X 上强调了这一趋势，并写道：“最近几天，我们发现了 2 起漏洞利用事件，暴露了 DeFi中一个很少有人记得存在的风险：数百万美元的旧trac闲置着。”

对于那些为了去中心化而放弃管理员密钥的协议来说，现在看来这种权衡可能并不划算，因为攻击者似乎已经将目标锁定在了它们身上。. 

据 DefiLlama 数据显示，截至 6 月中旬， DeFi 领域的漏洞利用损失已超过 4300 万美元，而已弃用的trac似乎在攻击目标中所占比例越来越大。.

不要只是阅读加密货币新闻，要理解它。订阅我们的新闻简报， 完全免费。